CVE-2026-27574 — 神龙十问 AI 深度分析摘要

🚨 **本质**：OneUptime 自定义 JS 监控功能使用不安全的 `node:vm` 模块执行用户代码。 💥 **后果**：导致**沙箱逃逸**，攻击者可实现**远程代码执行 (RCE)**，进而**完全破解集群**。

🛡️ **CWE**：CWE-94 (代码注入)。 🔍 **缺陷点**：`node:vm` 模块配置不当，未能有效隔离用户输入的 JavaScript 代码，导致上下文污染。

📦 **产品**：OneUptime (开源监控解决方案)。 📅 **版本**：**9.5.13 及之前版本**。 👥 **组件**：自定义 JavaScript 监控功能。

🔓 **权限**：获得**集群完全控制权** (S:C - 影响范围扩大)。 💾 **数据**：可读取/修改所有监控数据、配置及底层系统文件 (C:H/I:H/A:H)。

⚠️ **门槛**：中等。 🔑 **认证**：需要 **PR:L** (低权限认证)，即攻击者需拥有合法账号。 🖱️ **交互**：无需 UI 交互 (UI:N)，直接通过 API/配置注入。

💻 **PoC**：有现成利用代码。 🔗 **链接**：[GitHub PoC](https://github.com/mbanyamer/CVE-2026-27574-OneUptime-RCE)。 🌍 **在野**：数据未提及，但 PoC 已公开，风险极高。

🔍 **自查**：检查 OneUptime 版本是否 ≤ 9.5.13。 📝 **配置**：查看是否启用了“自定义 JavaScript”监控类型，且未限制执行环境。

🛠️ **官方修复**：已修复。 📌 **参考**：[GitHub Advisory](https://github.com/OneUptime/oneuptime/security/advisories/GHSA-v264-xqh4-9xmm)。…

⏳ **临时规避**： 1. **禁用**自定义 JavaScript 监控功能。 2. 升级至最新版本。 3. 严格限制访问 OneUptime 的管理接口。

🔥 **优先级**：**紧急 (Critical)**。 💡 **理由**：CVSS 评分高 (AV:N/AC:L/S:C/C:H/I:H/A:H)，无需高权限即可触发，且直接导致集群沦陷。建议**立即升级**。