CVE-2026-8634Crabbox在v0.12.0之前的版本中存在严重的安全漏洞。该漏洞源于环境变量白名单机制过于宽松。攻击者如果能够访问恶意或受损的仓库，可以利用此漏洞将本地敏感的环境变量（如API令牌、云凭证等）转发到远程命令执行环境中。这导致本地机密信息泄露，可能引发更严重的安全后果。
该漏洞的核心在于Crabbox在处理仓库本地配置时，对环境变量的过滤机制存在缺陷。Crabbox允许用户配置白名单来决定哪些环境变量可以被传递到远程命令执行环境。然而，在受影响版本中，该白名单的匹配规则过于宽泛或默认配置不当，导致本应受保护的系统级敏感环境变量被意外包含在内。
攻击者只需拥有对目标仓库的写入权限（或诱导管理员拉取恶意仓库），即可在仓库配置文件中定义特定的环境变量转发规则。当Crabbox尝试执行远程命令时，它会序列化当前进程的环境变量。由于白名单未能有效排除敏感变量，攻击者的远程环境将接收到受害者的本地凭证（如云服务商密钥、私有仓库Token等）。利用这些凭证，攻击者可以进一步横向移动或窃取数据。