CVE-2026-67544

اسم البرنامج المتأثر والإصدارات المتأثرة Heym الإصدارات السابقة لـ 0.0.71

الوصف يسمح محرك سير العمل للمستخدمين المصرح لهم، بما في ذلك الحسابات المسجلة حديثًا، بتحقيق تنفيذ عن بُعد للكود على مضيف النظام الخلفي. يقبل النظام سلسلة نصية برمجية عشوائية بلغة Python من خلال حقل playwrightCode في عقدة Playwright، والتي يتم كتابتها بعد ذلك في ملف مؤقت وتنفيذها بواسطة عملية النظام الخلفي باستخدام دالة subprocess.Popen(). تتم هذه العملية دون وجود بيئة معزولة (sandboxing)، أو التحقق من شجرة بناء الجملة المجردة (AST)—وهي طريقة لتحليل بنية الكود المصدري—أو بوابات تحديد الأدوار. في عمليات نشر Docker الافتراضية، يتم تنفيذ الكود بصلاحيات root.

التوصيات التحديث إلى الإصدار 0.0.71. تقييد استخدام حقل playwrightCode في عقد Playwright حتى يتم تطبيق التحديث.