PT-2026-21851 · Unknown+1 · @Enclave-Vm/Core+1
C0Rydoras
·
Publicado
2026-02-25
·
Atualizado
2026-05-26
·
CVE-2026-27597
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Enclave anteriores à 2.11.1
Descrição
O Enclave é um sandbox seguro em JavaScript utilizado para a execução segura de código de agentes de IA. Uma falha de segurança crítica existe nas versões anteriores à 2.11.1, permitindo que um atacante escape dos limites do sandbox e execute código remotamente (RCE) no sistema host subjacente. Isso é possível devido à capacidade de obter o construtor nativo
Object, permitindo acesso a propriedades restritas e funções do host. Duas provas de conceito são descritas, uma explorando host memory track quando um limite de memória é definido e outra utilizando o símbolo nodejs.util.inspect.custom do Node quando um limite de memória não é definido. Uma exploração bem-sucedida resulta na execução de comandos arbitrários no host, representando um comprometimento completo do sistema.Recomendações
Atualize para a versão 2.11.1 ou posterior imediatamente.
Exploit
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
@Enclave-Vm/Core
Enclave