安全性公告

在 2026 年 9 月 11 日之前的 Application Integration 版本中，SubWorkflow 工作發現「反序列化不受信任的資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 9 月 11 日修補。

解決哪些安全漏洞？

通過驗證的使用者可使用惡意序列化物件執行任意程式碼。

在 2026 年 8 月 27 日前推出的 Application Integration 版本中，AuthConfig 驗證和整合執行階段存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動，即可解決這個安全漏洞。 這項安全漏洞已於 2026 年 8 月 27 日修補完畢。

為提升安全性，防範授權漏洞，自 2026 年 10 月 15 日起，Application Integration 會要求新的整合項目必須具備執行身分服務帳戶的 iam.serviceAccounts.actAs 權限。現有的整合項目和新版本不受影響。詳情請參閱「為即將推出的授權異動做好準備」。

解決哪些安全漏洞？

通過驗證的使用者可以提高權限，並模擬 Google Cloud 專案中的服務帳戶。

在 2026 年 6 月 30 日前推出的 Application Integration 版本中，Email Task 元件存在混淆代理人安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這個安全漏洞已於 2026 年 6 月 30 日修補。

解決哪些安全漏洞？

經過驗證的攻擊者可使用特製的附件路徑，讀取及竊取任意 Google 內部檔案。

在 2026 年 6 月 28 日前推出的 Application Integration 版本中，JavaScript 工作存在「反序列化不受信任資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 28 日修補完畢。

解決哪些安全漏洞？

具備標準權限的已驗證使用者，可利用特製指令碼在共用正式環境伺服器上執行任意程式碼。

在 2026 年 6 月 17 日前推出的 Application Integration 版本中，工作設定存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 17 日修補。

解決哪些安全漏洞？

通過驗證的使用者可以使用僅限內部的任務類型，從 Google 內部實際工作環境網路，以特殊權限身分執行任意內部 RPC。

Application Integration 的 JavaScript 工作使用 Rhino JavaScript 引擎，但偵測到安全漏洞。這只會影響 2025 年 1 月前發布的工作。

該怎麼辦？

Google 已改用更安全的 V8 JavaScript 引擎，在 Application Integration 中執行 JavaScript 工作。自 2025 年 1 月起，所有新發布的整合項目都使用 V8 引擎，而 Rhino 引擎已於 2026 年 3 月 30 日全面淘汰。使用 Rhino 引擎的執行作業現在也會遭到封鎖。

如果您在 2025 年 1 月前發布了整合項目，請檢查 JavaScript 工作，確認沒有任何工作仍依賴 Rhino 引擎。凡是仍設為使用 Rhino 的工作，都將無法執行，必須遷移至 V8 引擎。如需遷移步驟，請參閱「遷移 JavaScript 工作」。

解決哪些安全漏洞？

這項安全漏洞 (CVE-2025-0982) 允許有權編寫及執行 JavaScript 工作的使用者，在 Application Integration 執行環境中執行任意程式碼。

JavaScript 工作先前使用 Rhino JavaScript 引擎執行使用者提供的 JavaScript。Rhino 允許使用 Java 反射和修改記憶體內權限物件，這些物件可以結合起來繞過 Java 安全管理員，並逃脫預期的執行沙箱。Google 已於 2025 年 1 月改用 V8 JavaScript 引擎，並將於 2026 年 3 月 30 日完全淘汰及封鎖 Rhino 引擎，藉此解決這個問題。