CVE-2026-61670— microsandbox 进程参数泄露敏感信息漏洞
一分钟漏洞结论
影响对象
superradcompany microsandbox
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
以下是该漏洞描述的中文翻译： microsandbox 是一款简单、快速、以本地优先的微虚拟机运行时和库。在 0.5.10 版本之前， 会将 中的机密值序列化后通过 参数传递，并通过 接受的重复 参数来传递每个沙箱的机密环境变量。其他本地用户或共驻进程可以在沙箱生命周期内，通过宿主机进程表读取这些值，包括 Linux 上的 进程命令行以及 Linux 和 macOS 上的进程列表。利用该漏洞无需在沙箱内部执行代码或访问启动用户的会话，即可在共享主机、CI 运行器和开发系统上泄露宿主机侧的 API 密钥、令牌和环境变
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| superradcompany | microsandbox | < 0.5.10 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-61670 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
microsandbox: Secret values exposed in world-readable process arguments
来源: CVE Program / CVE List V5
Vulnerability Description
microsandbox is an easy, fast, local-first microVM runtime and library. Prior to 0.5.10, sdk/rust/lib/runtime/spawn.rs serializes NetworkConfig secret values into the --network-config argument and passes per-sandbox secrets through repeated --env arguments accepted by crates/cli/lib/sandbox_cmd.rs. Other local users or co-resident processes can read these values through the host process table, including /proc process command lines on Linux and process listings on Linux and macOS, for the lifetime of the sandbox. Exploitation does not require code execution inside the sandbox or access to the spawning user's session, and can disclose host-side API keys, tokens, and environment secrets on shared hosts, CI runners, and developer systems. This issue is fixed in version 0.5.10.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过处理环境导致的信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| superradcompany | microsandbox | < 0.5.10 | - |
|
二、漏洞 CVE-2026-61670 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-61670 的情报信息
请登录查看更多情报信息。
CVE-2026-61670 其他参考 (2)
-
🔗 Release v0.5.10 · superradcompany/microsandbox · GitHub x_refsource_MISC
-