무슨 일이 있었나
GitHub 권고를 통해 2026-10-13 게시(CVSS 8.8, CWE-78/94/693). python_tool_executor.py의 블랙리스트 기반 Python 샌드박스는 허용된 표준 라이브러리 모듈의 공개 속성을 통해 우회할 수 있습니다. 러너는 exec()로 도구를 백엔드 애플리케이션 사용자로 실행합니다. NVD REST API를 통해 검증됨.
왜 중요한가
사용자 제공 Python을 자체 호스팅하고 실행하는 에이전틱 워크플로우 플랫폼은 거부 목록이 아닌 실제 샌드박싱이 필요합니다. 이 우회는 '워크플로우 생성'을 백엔드 호스트 침해로 변환하며, 약한 자체 등록 통제와 결합하면 의도된 사용자 집합을 넘어 도달합니다.
공격 경로
인증된 사용자(도달 가능한 경우 자체 등록 사용자 포함)는 _safe_import() 및 _validate_code_safety()를 통과하는 공개 속성을 통해 os/프로세스/파일 시스템 기능을 노출하는 표준 라이브러리 가져오기가 있는 사용자 지정 Python 도구를 작성합니다. 러너는 이를 백엔드 사용자로 exec()합니다.
영향받는 시스템
Heym(에이전틱 시스템 / 비즈니스 프로세스 자동화 플랫폼) < 0.0.40
완화 방안
Heym을 0.0.40으로 업그레이드하십시오(GHSA-wcgw-9hfw-f6f2). 패치될 때까지 워크플로우 사용자 지정 도구를 만들 수 있는 사람을 제한하고 백엔드를 최소 권한으로 실행하십시오.