Prefab UI: Sandbox-Ausbruch mit Code-Ausführung auf dem Host in Generative UI

Zusammenfassung

Prefab UI, ein Python-Framework für generative Benutzeroberflächen, führt von Aufrufern bereitgestellten Python-Code in einer Pyodide-Sandbox innerhalb eines Deno-Subprozesses aus. Die Sandbox macht die Deno-API für den Python-Code zugänglich, sodass ein Angreifer, der Code einschleusen kann, Dateien als Server-Benutzer lesen und schreiben sowie Codeausführung dauerhaft verankern kann, indem er eine .pth-Datei in die virtuelle Python-Umgebung des Servers schreibt. Der Zugriff erfolgt über den GenerativeUI-Provider von FastMCP: Auf Servern ohne Authentifizierung kann jeder Client, der den Server erreicht, das Tool aufrufen, mit Authentifizierung jeder Client, der Tools aufrufen darf. Generative UI ist optional und setzt Deno auf dem Host voraus.

Betroffen

• prefab-ui 0.14.0 bis 0.20.2 (CVE-Eintrag: 0.14.0 bis vor 0.21.0)
• Nur Installationen mit aktiviertem Generative UI (GenerativeUI-Provider von FastMCP) und installiertem Deno auf dem Host sind ausnutzbar

Behoben in

• prefab-ui 0.21.0 laut CVE-Eintrag (Commit 030f074, Pull Request 538)
• Die Behebung im GitHub-Advisory bestätigen; auf 0.21.1 oder neuer aktualisieren

Umgehung

• Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.
• Den GenerativeUI-Provider und das Tool generate_prefab_ui deaktivieren, wenn sie nicht benötigt werden.
• Deno von Hosts entfernen, auf denen die Sandbox nicht benötigt wird.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• prefab-ui in allen virtuellen Umgebungen, Containern und Images auf 0.21.1 oder neuer aktualisieren.
• Prüfen, ob der GenerativeUI-Provider aktiviert ist und ob Deno auf dem Host installiert ist.
• Den Zugriff auf MCP-Server einschränken und Authentifizierung verlangen.
• Das site-packages-Verzeichnis der virtuellen Umgebung des Servers auf unerwartete .pth-Dateien prüfen und kürzliche Dateiänderungen durch den Server-Benutzer überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-595q-jv4r-q7j9 github.com
• Fix commit 030f074 github.com
• Pull request 538 github.com
• Prefab v0.21.0 release github.com
• Prefab v0.20.2 release github.com
• prefab-ui on PyPI pypi.org
• VulDB entry 429663 vuldb.com
• FastMCP Generative UI documentation gofastmcp.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:20.