PT-2026-6658 · Sandboxjs · Sandboxjs

Cristianstaicu · Publicado 2026-02-05 · Atualizado 2026-02-09 · CVE-2026-25641

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do SandboxJS anteriores a 0.8.29

Descrição O SandboxJS, uma biblioteca de sandboxing em JavaScript, apresenta um problema de escape de sandbox. Isso se deve a uma discrepância entre a chave usada para validação e a chave usada para acesso à propriedade. A chave, que deveria ser uma string, não é validada como tal, permitindo que atacantes utilizem objetos maliciosos que alteram os valores das strings durante a sanitização e o acesso à propriedade. Isso pode levar à execução remota de código se um atacante conseguir executar código dentro do sandbox.

Recomendações As versões anteriores a 0.8.29 devem ser atualizadas para a versão 0.8.29.

Exploit

Correção

Time Of Check To Time Of Use

Special Elements Injection

Enumeração de Fraquezas

CWE-367

CWE-74

Identificadores relacionados

CVE-2026-25641

GHSA-7X3H-RM86-3342

Produtos afetados

Sandboxjs

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25641.json · Exploit
• 🔥 https://github.com/nyariv/SandboxJS/security/advisories/GHSA-7x3h-rm86-3342 · Exploit
• https://github.com/nyariv/SandboxJS · Nota
• https://github.com/nyariv/SandboxJS/commit/67cb186c41c78c51464f70405504e8ef0a6e43c3 · Correção
• https://github.com/nyariv/SandboxJS/blob/6103d7147c4666fe48cfda58a4d5f37005b43754/src/executor.ts#L304-L304 · Nota
• https://t.me/CVEtracker/43963 · Publicação no Telegram
• https://twitter.com/PurpleOps_io/status/2020709488693477585 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/2020534817331273841 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2019876703460552996 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1qxjol3/resumen_diario_de_vulnerabilidades_06022026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-25641 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7x3h-rm86-3342 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2019896606338756715 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-25641 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2019867920604754062 · Publicação no Twitter