PT-2026-39295 · Npm+4 · @Babel/Plugin-Transform-Modules-Systemjs+2
Daniel-Msft
·
Publicado
2026-05-08
·
Atualizado
2026-06-16
·
CVE-2026-44728
CVSS v3.1
8.2
Alta
| Vetor | AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Babel versões 7.12.0 até 7.29.3
Babel versões 8.0.0-alpha.1 até 8.0.0-alpha.12
Description
A compilação de código especificamente criado por um invasor pode causar a geração de código de saída que executa código arbitrário. Este problema afeta o plugin
@babel/plugin-transform-modules-systemjs e o @babel/preset-env quando a opção modules: "systemjs" é utilizada, pois ela delega a função para o plugin afetado. Usuários que compilam apenas código confiável não são impactados.Recommendations
Atualize para a versão 7.29.4 ou 8.0.0-alpha.13.
Atualize o
@babel/preset-env para a versão 7.29.5.
Como medida paliativa temporária, fixe o @babel/parser na v7.11.5, embora isso possa desativar novos recursos de linguagem e causar falhas no pipeline de build.
Evite usar a opção modules: "systemjs" e migre a base de código para ES Modules nativos ou outros formatos de módulo.Correção
Code Injection
Type Confusion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
@Babel/Plugin-Transform-Modules-Systemjs
Babel
Node-Babel7