CVE-2026-26954

Ucieczka z sandbox w bibliotece Nyariv SandboxJS (RCE)

CVSS 10.0v3.1pub. 2026-03-13upd. 2026-03-17

Biblioteka SandboxJS do izolacji kodu JavaScript zawiera podatność umożliwiającą ucieczkę z piaskownicy (sandbox escape). Błąd pozwala atakującemu uzyskać dostęp do konstruktora Function i wykonać dowolny kod JavaScript poza izolowanym środowiskiem.

▸ Pokaż oryginał (EN)

SandboxJS is a JavaScript sandboxing library. Prior to 0.8.34, it is possible to obtain arrays containing Function, which allows escaping the sandbox. Given an array containing Function, and Object.fromEntries, it is possible to construct {[p]: Function} where p is any constructible property. This vulnerability is fixed in 0.8.34.

🤖 Analiza AI

Jak działa

W wersjach wcześniejszych niż 0.8.34 możliwe jest uzyskanie tablicy zawierającej referencję do wbudowanego konstruktora Function, który powinien być zablokowany przez sandbox. Następnie, przy użyciu metody Object.fromEntries, atakujący może skonstruować obiekt w postaci {[p]: Function}, gdzie p jest dowolną konstruowalną właściwością. W ten sposób ograniczenia narzucone przez piaskownicę zostają ominięte, a atakujący uzyskuje dostęp do pełnej funkcjonalności środowiska JavaScript — w tym możliwość wykonania arbitralnego kodu (CWE-94: code injection).

Skutki

Atakujący może uciec z izolowanego środowiska sandbox i wykonać dowolny kod JavaScript w kontekście aplikacji hosta, co może prowadzić do pełnego przejęcia kontroli nad aplikacją, wycieku danych lub dalszego kompromitowania systemu.

Mitygacja

Należy zaktualizować bibliotekę SandboxJS do wersji 0.8.34 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w referencjach producenta na GitHub Security Advisories.

Kogo dotyczy

Nyariv SandboxJS w wersjach wcześniejszych niż 0.8.34

Uwagi

Podatność została naprawiona w wersji 0.8.34 biblioteki SandboxJS. Pomimo oceny CVSS 10.0 (CRITICAL), CISA nie umieściła jej w katalogu Known Exploited Vulnerabilities (KEV), dlatego poziom pilności określono jako WYSOKI.