目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-120338— Prefab UI Pyodide 沙箱逃逸至主机远程代码执行

一分钟漏洞结论

影响对象
PrefectHQ prefab-ui
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Prefab UI 的生成式 UI（Generative UI）沙箱在 Deno 子进程中，通过 Pyodide（编译为 WebAssembly 的 Python）运行由调用方提供的 Python 代码。该功能被文档描述为用于隔离不可信代码（包括由大语言模型生成的 UI）。然而，在 prefab-ui 0.14.0 至 0.20.2 版本中，启动器以无限制的 、 和 参数启动 Deno，且运行器将 Deno API 保留在 JavaScript 全局对象中。由于 Pyodide 的 模块代理了该全局对象，Pytho

CVSS 9.9 · Critical
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-120338 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Prefab UI Pyodide sandbox escape to host RCE
来源: CVE Program / CVE List V5
Vulnerability Description
Prefab UI's Generative UI sandbox runs caller-supplied Python inside Pyodide, Python compiled to WebAssembly, in a Deno subprocess. The feature is documented as isolation for untrusted code, including LLM-written UI. From prefab-ui 0.14.0 through 0.20.2 the launcher starts Deno with unrestricted --allow-read, --allow-write, and --allow-net, and the runner leaves the Deno API on the JavaScript global object. Pyodide's js module proxies that global, so the Python can call Deno.readTextFileSync and Deno.writeTextFileSync. A caller who can supply the code can read and write files as the server OS user, and can persist code execution by writing a .pth file into the server virtualenv's site-packages. The usual remote path is FastMCP's GenerativeUI provider, which registers the MCP tool generate_prefab_ui and forwards that tool's code argument into this sandbox. On a FastMCP server with no authentication configured, any client who can reach the server can call the tool. With authentication, any client allowed to call tools can. Generative UI is opt-in, and the host must have Deno installed. Confirmed on prefab-ui 0.20.2. Fixed in 0.21.0: after the runtime and Prefab sources load, the runner revokes Deno read, write, and network permission before it accepts code, the process is started with --no-prompt so a permission request cannot grant them again, and bootstrap network access is limited to cdn.jsdelivr.net. The fix is commit 030f074 (pull request 538).
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
保护机制失效
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
PrefectHQ prefab-ui 0.14.0 ~ 0.21.0 -

二、漏洞 CVE-2026-120338 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-120338 的情报信息

请登录查看更多情报信息。

CVE-2026-120338 其他参考 (9)

IV. Related Vulnerabilities

Same vendor: PrefectHQ
Same weakness: CWE-693