CVE-2026-67544

Nome do Software Vulnerável e Versões Afetadas Heym versões anteriores a 0.0.71

Descrição O mecanismo de fluxo de trabalho permite que usuários autenticados, incluindo contas recém-criadas, alcancem a execução remota de código no host do backend. O sistema aceita uma string de código Python arbitrária através do campo playwrightCode de um nó Playwright, que é então gravada em um arquivo temporário e executada pelo processo de backend usando a função subprocess.Popen(). Este processo ocorre sem sandboxing, validação de Árvore de Sintaxe Abstrata (AST)—um método de análise da estrutura do código-fonte—ou controles de acesso baseados em função. Em implantações Docker padrão, o código é executado com privilégios de root.

Recomendações Atualize para a versão 0.0.71. Restrinja o uso do campo playwrightCode em nós Playwright até que a atualização seja aplicada.