OneUptime tem escape de sandbox no tempo de execução do Synthetic Monitor Playwright que permite que membros do projeto executem comandos arbitrários na Probe

A vulnerabilidade CVE-2026-33396 no OneUptime permite que um usuário autenticado de baixo privilégio (ProjectMember) execute comandos remotamente no contêiner/host Probe, explorando a execução de scripts Playwright em Monitores Sintéticos. O código do monitor sintético é executado dentro de VMRunner.runCodeInNodeVM com um objeto de página Playwright ativo no contexto. O sandbox se baseia em uma lista de negação de propriedades/métodos bloqueados, mas esta lista é incompleta. Especificamente, _browserType e launch podem ser explorados para alcançar a execução de código arbitrário.

Organizations utilizing OneUptime for monitoring and observability, particularly those with ProjectMember roles that have the ability to create or modify Synthetic Monitors, are at risk. Shared hosting environments where multiple users share access to the OneUptime instance are also particularly vulnerable, as a compromised ProjectMember account could impact the entire environment.

• nodejs / server:

ps aux | grep 'VMRunner.runCodeInNodeVM' | grep -i playwright

• nodejs / server:

journalctl -u oneuptime -g 'Playwright script execution'

• generic web: Inspect OneUptime Synthetic Monitor Playwright scripts for suspicious code, particularly attempts to access or manipulate _browserType or launchServer properties.

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-19
2. Publicada2026-03-26
3. EPSS atualizado2026-04-03

A solução para esta vulnerabilidade é atualizar o OneUptime para a versão 10.0.35 ou superior. Esta versão inclui correções que fortalecem o ambiente de execução do Playwright, bloqueando de forma mais eficaz as propriedades e métodos que podem ser usados para execução de comandos remotos. Recomenda-se fortemente atualizar o mais rápido possível para mitigar o risco de exploração. Além disso, revise as configurações de permissão do usuário para garantir que apenas os usuários necessários tenham acesso às funcionalidades de monitoramento sintético.