PT-2026-5727 · Sandboxjs · Sandboxjs

C0Rydoras · Publicado 2026-02-02 · Atualizado 2026-02-03 · CVE-2026-25142

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do SandboxJS anteriores à 0.8.27

Descrição O SandboxJS é uma biblioteca de sandbox em JavaScript com um problema no qual a função lookupGetter não está devidamente restrita. Isso pode permitir a obtenção de protótipos, potencialmente levando a um escape de sandbox e à execução remota de código. O problema afeta versões anteriores à 0.8.27.

Recomendações Atualize para a versão 0.8.27 ou posterior do SandboxJS.

Exploit

Correção

Code Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-94

CWE-1321

Identificadores relacionados

CVE-2026-25142

GHSA-9P4W-FQ8M-2HP7

Produtos afetados

Sandboxjs

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25142.json · Exploit
• https://github.com/nyariv/SandboxJS · Nota
• https://github.com/nyariv/SandboxJS/security/advisories/GHSA-9p4w-fq8m-2hp7 · Aviso do Fabricante
• https://github.com/nyariv/SandboxJS/commit/75c8009db32e6829b0ad92ca13bf458178442bd3 · Correção
• https://github.com/nyariv/SandboxJS/blob/f212a38fb5a6d4bc2bc2e2466c0c011ce8d41072/src/executor.ts#L368-L398 · Nota
• https://twitter.com/CVEnew/status/2018465508035620976 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2018462421459902846 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2018477359226110273 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25142 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9p4w-fq8m-2hp7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-25142 · Aviso do Fabricante