یک آسیبپذیری امنیتی حیاتی در Grist-Core، نسخه متنباز و خودمیزبان صفحهگسترده-پایگاهداده Grist، کشف شده که میتواند منجر به اجرای کد از راه دور شود. این نقص امنیتی با شناسه CVE-2026-24002 و امتیاز ۹.۱ CVSS ثبت شده و توسط آزمایشگاههای تحقیقاتی Cyera با نام Cellbreak شناخته میشود. ولادیمیر توکارف، محقق امنیتی کاشف این آسیبپذیری، توضیح داد که “یک فرمول مخرب میتواند یک صفحهگسترده را به پایگاهی برای اجرای کد از راه دور تبدیل کند” و این فرار از محیط ایمن (sandbox escape) به نویسنده فرمول اجازه میدهد دستورات سیستمعامل را اجرا کرده یا جاوااسکریپت را در محیط میزبان اجرا کند.
این آسیبپذیری که در دسته فرار از محیط ایمن Pyodide قرار میگیرد، در نسخه ۱.۷.۹ منتشرشده در ۹ ژانویه ۲۰۲۶ برطرف شده است. مشکل ریشه در اجرای فرمولهای پایتون Grist دارد که از رویکرد لیست سیاه (blocklist) استفاده میکند و امکان فرار از محیط ایمن و دستیابی به اجرای دستور در سیستم میزبان را فراهم میآورد. مهاجمان میتوانند از این قابلیت برای دسترسی به اعتبارنامههای پایگاهداده، کلیدهای API، خواندن فایلهای حساس و حرکت جانبی در شبکه استفاده کنند. Grist این مشکل را با انتقال اجرای فرمولهای Pyodide به زیر محیط اجرای جاوااسکریپت Deno حل کرده و به کاربران توصیه میشود هرچه سریعتر به آخرین نسخه بهروزرسانی کنند.
کلمات کلیدی : آسیبپذیری Grist-Core, اجرای کد از راه دور, CVE-2026-24002, فرار از محیط ایمن Pyodide, Cellbreak, بهروزرسانی امنیتی
نظر شما چیست؟
خوشحال میشویم نظر شما را بدانیم. نظری بنویسید.