Signal is active with 6 mentions in latest observed window
Recommended action window: Monitor and triage in normal cycle
NVD description
Prefab UI's Generative UI sandbox runs caller-supplied Python inside Pyodide, Python compiled to WebAssembly, in a Deno subprocess. The feature is documented as isolation for untrusted code, including LLM-written UI. From prefab-ui 0.14.0 through 0.20.2 the launcher starts Deno with unrestricted --allow-read, --allow-write, and --allow-net, and the runner leaves the Deno API on the JavaScript global object. Pyodide's js module proxies that global, so the Python can call Deno.readTextFileSync and Deno.writeTextFileSync. A caller who can supply the code can read and write files as the server OS user, and can persist code execution by writing a .pth file into the server virtualenv's site-packages. The usual remote path is FastMCP's GenerativeUI provider, which registers the MCP tool generate_prefab_ui and forwards that tool's code argument into this sandbox. On a FastMCP server with no authentication configured, any client who can reach the server can call the tool. With authentication, any client allowed to call tools can. Generative UI is opt-in, and the host must have Deno installed. Confirmed on prefab-ui 0.20.2. Fixed in 0.21.0: after the runtime and Prefab sources load, the runner revokes Deno read, write, and network permission before it accepts code, the process is started with --no-prompt so a permission request cannot grant them again, and bootstrap network access is limited to cdn.jsdelivr.net. The fix is commit 030f074 (pull request 538).
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
STABLE
AIが作った画面をサーバーで検証するPrefab UIに脆弱性CVE-2026-120338 深刻度CVSS 10.0 https://joho-todai.com/cve-2026-120338-prefab-ui-deno-vulnerability/ 0.14.0〜0.20.2の生成UI機能でDeno（コードの実行環境）を使う構成が対象。 生成コードからサーバーのファイルを読み書きする問題が確認された。 旧版の説明文書ではDenoのファイル操作を読み取り専用としたが、実装には書き込みと通信の許可も残っていた。 0.21.0は生成コードの実行前に、Denoの権限を取り消す。 CVSS 10.0は無認証でFastMCPの生成UIツールに到達できる構成を想定した評価。
An LLM code "sandbox" is only as strong as its launch flags. @PrefectIO's Prefab UI ran model-written Python in Pyodide inside Deno, but gave Deno full read, write and network. CVE-2026-120338, rated 10.0 by @jfrog. Upgrade to 0.21.0 and put auth on any FastMCP server using it.
🚨 CVE-2026-120338 (CVSS 10.0 Critical) PrefectHQ Prefab UI (0.14.0–0.20.2) & FastMCP GenerativeUI expose unrestricted Deno read/write/net APIs inside Pyodide, enabling host RCE. ⚡ Action: Upgrade prefab-ui to v0.21.0 immediately. 🔗 https://www.thehackerwire.com/vulnerability/CVE-2026-120338/ https://t.co/sEDCfq5fgf
🔴 PrefectHQ prefab-ui: sandbox escape in Generative UI leads to server RCE (CVE-2026-120338) An attacker who can submit code to the sandbox can escape it and read, write, or run code on the server as its OS user. Patch → 0.21.0 https://cve.now/CVE-2026-120338?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical
【11/2 朝】CVE・脆弱性ニュースまとめ ■国内 前回（1日夜）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① PrefectHQ「Prefab UI（Python向け生成UIライブラリ）」：サンドボックスを抜け出し、サーバー上のファイルを読み書き・コード実行されうる脆弱性（CVE-2026-120338、CVSS v3.1 10.0） Prefab UIには、AIなどが書いたPythonコードをブラウザ技術（Pyodide）で隔離して動かす「Generative UI」機能がありますが、起動時に読み書き・通信の権限を制限せずに実行環境（Deno）を立ち上げていたため、隔離が実質的に効いていない状態でした。コードを渡せる相手であれば、サーバーのOSユーザーの権限でファイルを読み書きでき、仮想環境に細工したファイルを置くことでコード実行を居座らせることもできるおそれがあります。特にFastMCPのGenerativeUI機能で公開したMCPサーバーに認証をかけていない場合は、サーバーに届く誰でもこのツールを呼び出せます。影響は0.14.0〜0.20.2で、0.21.0で修正されています（Generative UIは任意で有効にする機能で、Denoが入っている環境が対象）。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120338 出典：PrefectHQ（GitHub） https://github.com/PrefectHQ/prefab/security/advisories/GHSA-595q-jv4r-q7j9 ② Liquid Web / StellarWP「BookIt（WordPress予約プラグイン）」：ログイン不要のSQLインジェクション（CVE-2026-62048、CVSS v3.1 9.3） 予約・スケジュール管理用のWordPressプラグインBookItで、送られた値を正しく処理せずにデータベースへの命令（SQL）に組み込んでしまう脆弱性です。登録元のPatchstackによると、ログインしていない攻撃者でもネットワーク越しに攻撃でき、データベースの情報を盗み出されるおそれがあります。影響は2.6.0.6以前で、2.6.0.7で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-62048 出典：Patchstack https://patchstack.com/database/wordpress/plugin/bookit/vulnerability/wordpress-bookit-plugin-2-6-0-6-sql-injection-vulnerability ③ Horizon DataSys「Reboot Restore Standard（PC復元ソフト）」：カーネルドライバのメモリ破壊で、PCの最高権限を奪われうる脆弱性（CVE-2026-120232、CVSS v4.0 9.3／v3.1 8.8、実証コード公開済み） 再起動するとPCを決まった状態に戻すWindows向けソフトReboot Restore Standardで、カーネルドライバ（shield.sys）の処理にメモリ破壊の脆弱性があり、日本時間2日0時にhttp://cve.orgへ登録されました。登録元のVulDBによると、攻撃にはそのPCにログインできる権限が必要ですが、成功するとシステム全体に影響する操作ができるおそれがあります。影響は13.0〜13.2で、攻撃の実証コード（PoC）が公開されています。修正は次のリリースで予定されているとされ、現時点で修正版は確認できていません。実際の攻撃に使われたという報告も確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120232 出典：VulDB https://vuldb.com/vuln/429591 ④（続報）WAVLINK「無線LANルーター WN553X1-B／WN701AE」：OSコマンドインジェクションがさらに6件登録（CVE-2026-120229／120230／120231／120238／120239／120240、CVSS v3.1 9.1〜9.9、実証コード公開済み） 1日に取り上げたWAVLINK製品のOSコマンドインジェクションについて、1日夜から2日未明（日本時間）にかけて同じ2機種で6件が追加登録されました。WN553X1-B（260403_2.0.0）ではOpenVPNやWireGuardの設定処理、パスワード確認処理など5か所、WN701AE（260105）ではVLANグループの削除処理で、受け取った値がそのままOSのコマンドに渡ってしまいます。登録元のVulDBによると、いずれもネットワーク越しに攻撃でき、ログインできる立場（CVE-2026-120229は管理者権限）が前提です。攻撃の実証コード（PoC）は公開されていますが、修正版や実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120229 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120230 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120231 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120238 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120239 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120240 出典：VulDB https://vuldb.com/vuln/429588 ■注意点 ・米CISAのKEVは2日朝の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・JavaのWebフレームワークApache Wicketで、XSSや認可の適用漏れ、アップロード上限が効かない問題など18件のCVEが2日朝（日本時間）に公開されました（最大CVSS 8.3）。9.14.0〜9.24.0と10.0.0〜10.9.1が対象のものがあり、利用している場合はApacheの告知を確認のうえ更新をおすすめします。 ・WAVLINK（④）やReboot Restore（③）は修正版がまだ確認できていません。ルーターは管理画面を外部に公開せず、PCはログインできる人を限るなどの対策をおすすめします。 #脆弱性 #CVE #サイバーセキュリティ
🚨【CVSS 10.0／最高危険度】 AI生成UIの実行環境に重大な脆弱性！ CVE-2026-120338 Prefab UIの隔離環境を突破し、サーバー内のファイル窃取・改ざん・コード実行につながる恐れ。 ✅ 0.21.0以降へ更新 ✅ MCPの公開範囲と権限を確認 ん～多すぎっ！
@PrefectIO @jfrog JFrog's write-up, with PoC and fix details: https://research.jfrog.com/vulnerabilities/prefab-ui-is-vulnerable-to-remote-code-execution-via-a-pyodide-js-bridge-to-deno-cve-2026-120338-jfsa-2026-001699278/
Heads up on three fresh ones worth a quick look: Prefab UI’s generative sandbox (CVE-2026-120338) can let callers read or change host files and stick around, so bump to 0.21.0+. Beta9 has a set of tenant isolation issues that can expose worker files, cross-tenant data and Kubernetes credentials — workers 0.1.756+ and gateways 0.1.776+ close it. Google and Mandiant are also seeing agentic frameworks like ARTEX, PentAGI and CAIRN getting used in real attacks to automate chunks of the kill chain.#CyberSecurity #CVE #AISecurity #InfoSec #ThreatIntel #CyberSecurity #CVE #AISecurity #InfoSec #ThreatIntel #AgenticAI
📄 The docs said "no write" access. The launcher said --allow-write. The affected releases ran for 213 days. This is CVE-2026-120338, in Prefab UI from PrefectHQ: a sandbox built to run code that a language model writes. 🧱 The wall: Python as WebAssembly, inside Deno. 🚪 The gap: Deno started with read, write and network all open, and its API stayed reachable from the sandboxed Python. 📂 The result, per the record: files read and written as the server's user, and a .pth file that runs again on every start. 🔌 How a caller gets there: FastMCP's GenerativeUI provider hands the code argument of one MCP tool, generate_prefab_ui, straight to the sandbox. FastMCP servers default to no authentication. 📊 CVSS 10.0 without auth, 9.9 with it. 🤫 Fixed in 0.21.0 on 26 October, inside a pull request titled as a dependency refresh. GitHub's advisory names no package, so Dependabot stays quiet. 🟢 No exploitation on record. Not in KEV. 🔗 https://www.pk-sharma.com/briefing/prefab-ui-cve-2026-120338-generative-ui-sandbox-let-llm-written-code-write-files-on-the-host #AISecurity #MCP #FastMCP #Python #Pyodide #Deno #WebAssembly #Sandbox #LLMSecurity #CVE #AppSec #SupplyChainSecurity #CyberSecurity #InfoSec
CVE-2026-120338 (CRITICAL / 10.0) — Prefab UI's Generative UI sandbox runs caller-supplied Python inside Pyodide, Python compiled to WebAssembly, in a Deno ... https://nvd.nist.gov/vuln/detail/CVE-2026-120338 #python #windows #cve #kkaasolutions
Prefab UI's opt-in Generative UI sandbox has a bypass (CVE-2026-120338). Caller-supplied Python can access host files via Deno APIs. Affected: prefab-ui 0.14.0-0.20.2. Update to 0.21.0. #Cybersecurity #Infosec #AppSec https://github.com/PrefectHQ/prefab/pull/538