CVE-2026-120338
Publiée le 2026-11-01 · Dernière modification le 2026-11-01
Les versions 0.14.0 à 0.20.2 de Prefab UI sont utilisées pour exécuter des interfaces utilisateur générées par LLM au sein d'un environnement Python sandboxé. La faille provient du fait que le sous-processus Deno sous-jacent est lancé avec des permissions illimitées de lecture, d'écriture et d'accès au réseau. Étant donné que l'environnement Python peut accéder à ces API Deno, il peut contourner l'isolation prévue pour interagir directement avec le système d'exploitation du serveur.
Un attaquant peut lire ou modifier tout fichier auquel l'utilisateur du serveur a accès, et potentiellement établir un contrôle permanent en modifiant l'environnement Python du serveur. Cette opération est facile à exécuter via un réseau et ne nécessite aucune authentification ni interaction utilisateur si le serveur est configuré sans authentification. L'impact est total, compromettant la confidentialité, l'intégrité et la disponibilité du système hôte.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Prefab UI's Generative UI sandbox runs caller-supplied Python inside Pyodide, Python compiled to WebAssembly, in a Deno subprocess. The feature is documented as isolation for untrusted code, including LLM-written UI. From prefab-ui 0.14.0 through 0.20.2 the launcher starts Deno with unrestricted --allow-read, --allow-write, and --allow-net, and the runner leaves the Deno API on the JavaScript global object. Pyodide's js module proxies that global, so the Python can call Deno.readTextFileSync and Deno.writeTextFileSync. A caller who can supply the code can read and write files as the server OS user, and can persist code execution by writing a .pth file into the server virtualenv's site-packages. The usual remote path is FastMCP's GenerativeUI provider, which registers the MCP tool generate_prefab_ui and forwards that tool's code argument into this sandbox. On a FastMCP server with no authentication configured, any client who can reach the server can call the tool. With authentication, any client allowed to call tools can. Generative UI is opt-in, and the host must have Deno installed. Confirmed on prefab-ui 0.20.2. Fixed in 0.21.0: after the runtime and Prefab sources load, the runner revokes Deno read, write, and network permission before it accepts code, the process is started with --no-prompt so a permission request cannot grant them again, and bootstrap network access is limited to cdn.jsdelivr.net. The fix is commit 030f074 (pull request 538).