CVE-2026-25142

Ucieczka z sandbox i RCE w bibliotece SandboxJS (Nyariv)

CVSS 10.0v3.1pub. 2026-02-02upd. 2026-02-18

Biblioteka SandboxJS przed wersją 0.8.27 nie ogranicza prawidłowo dostępu do metody __lookupGetter__, co umożliwia uzyskanie dostępu do prototypów obiektów JavaScript i ucieczkę z izolowanego środowiska wykonawczego (sandbox escape). Podatność uzyskała maksymalny wynik CVSS 10.0 i może prowadzić do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

SandboxJS is a JavaScript sandboxing library. Prior to 0.8.27, SanboxJS does not properly restrict __lookupGetter__ which can be used to obtain prototypes, which can be used for escaping the sandbox / remote code execution. This vulnerability is fixed in 0.8.27.

🤖 Analiza AI

Jak działa

SandboxJS nie blokuje wywołania __lookupGetter__, które jest mechanizmem pozwalającym na odczyt metod dostępowych (getter) przypisanych do właściwości obiektu. Atakujący może użyć tej metody do pobrania referencji do prototypów obiektów JavaScript, które normalnie powinny być niedostępne z poziomu sandboxowanego kodu. Uzyskanie dostępu do prototypów umożliwia obejście ograniczeń narzuconych przez sandbox i wykonanie dowolnego kodu poza jego granicami (prototype pollution lub bezpośrednia eskalacja uprawnień środowiska).

Skutki

Atakujący może uciec z izolowanego środowiska JavaScript i wykonać dowolny kod po stronie serwera lub aplikacji hostującej bibliotekę (RCE). Skutkuje to pełną utratą poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zaktualizować bibliotekę SandboxJS do wersji 0.8.27 lub nowszej, w której podatność została usunięta. Aktualizacja dostępna jest w repozytorium GitHub projektu (commit 75c8009db32e6829b0ad92ca13bf458178442bd3).

Kogo dotyczy

Biblioteka Nyariv SandboxJS we wszystkich wersjach przed 0.8.27.

Uwagi

Podatność została zgłoszona i naprawiona przez autora biblioteki w wersji 0.8.27. Szczegóły techniczne dotyczące podatnego fragmentu kodu znajdują się w pliku src/executor.ts (linie 368–398). Pełne advisory opublikowano w systemie GitHub Security Advisories (GHSA-9p4w-fq8m-2hp7).