高 8.8

OpenPanelにサンドボックス回避の脆弱性、任意のコードを実行されるおそれ

CVE-2026-116811 SecPulse初出 8:05

概要

OpenPanelの3.0.0より前のバージョンには、js-runtimeの検証機能の不備によりサンドボックスを回避される脆弱性があります。プロジェクトへの書き込み権限を持つ利用者が、ワーカープロセス上で任意のコードを実行できるおそれがあります。修正版の3.0.0で対処されているため、3.0.0以降へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Openpanel-dev	openpanel	3.0.0 未満	3.0.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

OpenPanel before 3.0.0 contains a sandbox escape vulnerability in the js-runtime validator that allows a project member to bypass the AST allowlist by aliasing the Function constructor. Attackers with write access can read payload.constructor.constructor into a local and call it to run arbitrary code in the worker process.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory