CVSS 9.0 以上
CVE-2026-120338
要約
Prefab UIのGenerative UIサンドボックスは、呼び出し元が与えたPythonコードをDenoサブプロセス内のPyodideで実行する。prefab-ui 0.14.0から0.20.2では、Denoが制限のない--allow-read、--allow-write、--allow-netで起動され、DenoのAPIもJavaScriptのグローバルオブジェクト上に残るため、PythonからDeno.readTextFileSyncやDeno.writeTextFileSyncを呼び出せる。0.21.0で修正され、コード受け付け前にDenoの読み取り・書き込み・ネットワーク権限が取り消され、--no-promptで起動し、ブートストラップ時のネットワークアクセスはcdn.jsdelivr.netに限定された。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Prefab UIPyodidePythonWebAssemblyDenoJavaScriptFastMCPMCP
このタグの新着を RSS で受け取る: Prefab UI / Pyodide / Python / WebAssembly / Deno / JavaScript / FastMCP / MCP(使い方)
判定の理由
- CVSS 9.0 以上