PT-2026-30272 · Sandboxjs · Sandboxjs

Fancymalware

·

Publicado

2026-04-03

·

Atualizado

2026-04-14

·

CVE-2026-34208

CVSS v3.1

10

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
Nome do Software Vulnerável e Versões Afetadas SandboxJS versões anteriores a 0.8.35
Descrição SandboxJS possui uma falha onde a atribuição direta a objetos globais é bloqueada, mas essa proteção pode ser ignorada por meio de um caminho de construtor chamável usando this.constructor.call(target, attackerObject). Isso permite que o código do invasor grave propriedades arbitrárias em objetos globais do host, persistindo essas alterações em todas as instâncias de sandbox dentro do mesmo processo. A vulnerabilidade surge porque a gravação perigosa é realizada internamente por uma função chamável do host, ignorando as verificações de gravação pretendidas. Um invasor pode aproveitar isso para modificar o estado de tempo de execução do host e potencialmente executar código arbitrário, conforme demonstrado pela sobrescrita de Math.random e pela execução de comandos por meio de um gadget do host. Esta é uma fuga de integridade do sandbox, permitindo que código não confiável mute objetos globais compartilhados do host, apesar das proteções de gravação global. Essas mutações podem afetar outras solicitações, locatários ou execuções subsequentes de sandbox, levando potencialmente a um sequestro de fluxo de controle na lógica da aplicação.
Recomendações Atualize para a versão 0.8.35 ou posterior do SandboxJS.

Correção

Protection Mechanism Failure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-34208
GHSA-2GG9-6P7W-6CPJ

Produtos afetados

Sandboxjs