PT-2026-31677 · Unknown · Hashgraph Guardian

Christ Bouchuen · Publicado 2026-04-09 · Atualizado 2026-05-01 · CVE-2026-39911

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Hashgraph Guardian versões até 3.5.0

Description Hashgraph Guardian até a versão 3.5.0 possui uma questão de execução de JavaScript não isolada no worker do bloco de política Custom Logic. Usuários autenticados do Standard Registry podem executar código arbitrário fornecendo expressões JavaScript diretamente ao construtor Node.js Function() sem isolamento. Isso permite que invasores importem módulos nativos do Node.js para ler arquivos arbitrários do sistema de arquivos do contêiner, acessem variáveis de ambiente do processo contendo credenciais confidenciais, como chaves privadas RSA, chaves de assinatura JWT e tokens de API, e forjem tokens de autenticação válidos para qualquer usuário, incluindo administradores.

Recommendations Atualize para uma versão posterior a 3.5.0.

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

CVE-2026-39911

Produtos afetados

Hashgraph Guardian

Referências · 6

• https://github.com/hashgraph/guardian/commit/45fbe2f7e0e8feee30105d42d66ed63fb6177ebe · Correção
• https://github.com/hashgraph/guardian/pull/5929 · Nota
• https://twitter.com/CveFindCom/status/2042312317698769301 · Publicação no Twitter
• https://t.me/cveNotify/161782 · Publicação no Telegram
• https://vulncheck.com/advisories/hashgraph-guardian-unsandboxed-javascript-execution-rce · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-39911 · Nota de Segurança