CVE-2026-34156 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：NocoBase 工作流脚本节点在 Node.js vm 沙箱中执行代码时，**console 对象泄露**了底层流对象。 💥 **后果**：攻击者可**逃逸沙箱**，实现**远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-913**：过度权限/沙箱逃逸。 🔍 **缺陷点**：传递给沙箱的 `console` 对象暴露了 `WritableWorkerStdio` 流，导致原型链遍历攻击成为可能。
Q3影响谁？（版本/组件）
📦 **产品**：NocoBase 低代码平台。 📅 **版本**：**2.0.28 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
👑 **权限**：以 **root** 权限执行任意代码。 📂 **数据**：完全控制主机，可窃取数据、篡改系统或横向移动。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。 ✅ **前提**：攻击者需具备**身份验证**（已登录账号）。 ⚙️ **配置**：利用 `WORKFLOW_SCRIPT_MODULES` 环境变量控制的白名单机制。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：有！ProjectDiscovery 已发布 Nuclei 模板。 🌍 **在野**：暂无公开在野利用报告，但利用路径清晰（原型链遍历）。
Q7怎么自查？（特征/扫描）
🔍 **自查**：检查 NocoBase 版本是否 < 2.0.28。 📡 **扫描**：使用 Nuclei 模板 `CVE-2026-34156.yaml` 进行自动化检测。
Q8官方修了吗？（补丁/缓解）
✅ **已修复**：官方已发布 **v2.0.28** 版本修复此漏洞。 🔗 **参考**：GitHub Advisory GHSA-px3p-vgh9-m57c。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：若无法立即升级，需严格限制**工作流脚本节点**的访问权限，并审查 `WORKFLOW_SCRIPT_MODULES` 配置，禁用不必要的模块。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。 💡 **建议**：CVSS 评分满分风险，一旦认证即可 RCE。请**立即升级**至 v2.0.28 或更高版本。