PT-2026-40452 · Heym · Heym

CVE-2026-45227 · Publicado 2026-05-12 · Atualizado 2026-05-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Heym versões anteriores a 0.0.21

Descrição Existe um escape de sandbox no executor de ferramentas Python customizado. Autores de fluxos de trabalho autenticados podem ignorar as restrições do sandbox usando primitivas de introspecção de grafo de objetos. Ao empregar técnicas de introspecção do Python, invasores podem recuperar a função import irrestrita para importar módulos bloqueados, como os e subprocess. Isso permite o acesso a variáveis de ambiente do backend herdadas que contêm credenciais de banco de dados e chaves de criptografia, possibilitando a execução de comandos arbitrários no host como o usuário do serviço de backend.

Recomendações Atualize para a versão 0.0.21 ou posterior.

Exploit

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2026-45227

Produtos afetados

Heym

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45227.json · Exploit
• 🔥 https://github.com/heymrun/heym/pull/94 · Exploit
• https://github.com/heymrun/heym/commit/32b7e809d987d9b018ec8daa2cdaf48f627f26f1 · Correção
• https://github.com/heymrun/heym · Nota
• https://github.com/heymrun/heym/releases/tag/v0.0.21 · Nota
• https://vulncheck.com/advisories/heym-sandbox-escape-via-python-introspection · Nota
• https://twitter.com/VulmonFeeds/status/2054417339311870080 · Publicação no Twitter
• https://t.me/cveNotify/163446 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2054323985475903956 · Publicação no Twitter
• https://t.me/CVEtracker/53568 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-45227 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-45227 · Nota de Segurança