何が起きたか
GitHubアドバイザリ経由で2026-10-13に公開（CVSS 8.8、CWE-78/94/693）。python_tool_executor.pyのブラックリストベースのPythonサンドボックスは、許可されたstdlibモジュールの公開属性を通じてバイパス可能。ランナーはバックエンドアプリケーションユーザーとしてexec()でツールを実行する。NVD REST APIで検証済み。
なぜ重要か
自己ホスト型でユーザー提供のPythonを実行するエージェンティックワークフロープラットフォームには、拒否リストではなく、本物のサンドボックス化が必要である。このバイパスは「ワークフロー作成」をバックエンドホスト侵害に変換し、弱い自己登録制御と組み合わせると、意図したユーザーセットを超えて到達する。
攻撃経路
認証されたユーザー（到達可能な場合は自己登録ユーザーを含む）は、_safe_import()と_validate_code_safety()を通過する公開属性を通じてos/プロセス/ファイルシステム機能を公開する標準ライブラリインポートを含むカスタムPythonツールを作成する。ランナーはそれをバックエンドユーザーとしてexec()する。
影響を受けるシステム
Heym（エージェンティックシステム/ビジネスプロセス自動化プラットフォーム）0.0.40未満
緩和策
Heymを0.0.40にアップグレードしてください（GHSA-wcgw-9hfw-f6f2）。パッチ適用まで、ワークフローカスタムツールを作成できるユーザーを制限し、バックエンドを最小権限で実行してください。