CVE-2026-33881Windmill是一个开源开发者平台。在受影响的版本中，NativeTS执行器存在代码注入漏洞。由于在处理工作区环境变量时未正确转义单引号，具备工作区管理员权限的攻击者可以通过设置包含恶意代码的环境变量值，在工作区内的所有NativeTS脚本中注入并执行任意JavaScript代码，从而可能导致数据泄露、篡改或服务中断。
该漏洞位于Windmill的`worker.rs`文件中，涉及NativeTS执行器对环境变量的处理逻辑。当系统将工作区环境变量值插值到JavaScript字符串字面量时，没有对单引号（'）进行转义处理。利用该漏洞需要具备工作区管理员权限（PR:H）。攻击者可以在工作区设置中配置自定义环境变量，并将值构造为包含闭合引号和恶意JavaScript代码的Payload（例如`'); malicious_code(); //`）。当工作区内任何NativeTS脚本执行并引用该环境变量时，恶意代码将被拼接进脚本上下文并执行。此漏洞与沙箱机制（NSJAIL）无关，属于应用层逻辑缺陷。