تم تحديد أن بيئة Prefab UI التوليدية تحتوي على ثغرة في تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر جسر Pyodide js إلى Deno. تم تتبع هذه الثغرة تحت الرمز CVE-2026-120338 وتم منحها درجة CVSS تبلغ 10.0، مما يشير إلى خطورة حرجة.
تؤثر الثغرة على إصدارات Prefab UI من 0.14.0 إلى 0.20.2 وتسمح للمهاجمين بتنفيذ تعليمات برمجية بايثون عشوائية عن طريق استغلال صلاحيات Deno. يشمل ذلك الوصول إلى قراءة/كتابة الملفات على الخادم المضيف.
المسار المعتاد للاستغلال عن بُعد يكون عبر مزود GenerativeUI من FastMCP، خصوصاً على الخوادم التي لم يتم تكوين المصادقة عليها، حيث يمكن لأي عميل يصل إلى الخادم استدعاء الأداة المعرضة للثغرة.
تم إصدار تحديث أمني يعالج هذه الثغرة في الإصدار 0.21.0 من Prefab UI. تم الكشف عن الثغرة علناً في 1 نوفمبر 2026.
حالياً، لا يوجد كود استغلال عام مؤكد للثغرة CVE-2026-120338.