事件经过
于2026-10-13发布（CVSS 8.8，CWE-78/94/693），通过GitHub公告发布。python_tool_executor.py中基于黑名单的Python沙箱可通过允许的标准库模块的公共属性绕过；运行器使用exec()以后端应用程序用户身份执行工具。已通过NVD REST API验证。
影响分析
自托管并运行用户提供的Python的代理工作流平台需要真正的沙箱化，而非黑名单。此绕过将“创建工作流”转换为后端主机妥协，且与弱的自我注册控制结合可超出预期用户集。
攻击途径
认证用户（包括可达到的自我注册用户）编写自定义Python工具，其标准库导入通过通过_safe_import()和_validate_code_safety()的公共属性暴露os/进程/文件系统能力；然后运行器以后端用户身份exec()它。
受影响系统
Heym（代理系统/业务流程自动化平台） < 0.0.40
缓解措施
将Heym升级至0.0.40（GHSA-wcgw-9hfw-f6f2）。在修补之前，限制谁可以创建工作流自定义工具，并以最小权限运行后端。