CVE-2026-32304
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W bibliotece Locutus w wersji przed 3.0.14 funkcja create_function(args, code) przekazuje oba parametry bezpośrednio do konstruktora Function bez żadnej sanityzacji, co umożliwia zdalne wykonanie dowolnego kodu JavaScript. Podatność ta dotyczy gałęzi v3.x i różni się od wcześniejszej luki CVE-2026-29091.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu JavaScript w kontekście aplikacji używającej Locutus, co może prowadzić do przejęcia kontroli nad sesją użytkownika, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Locutus do wersji 3.0.14 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać używania funkcji create_function z niezaufanymi danymi wejściowymi.
Inne podatności w Locutus
Zobacz wszystkie- CVE-2026-29091Wysokie
W projekcie Locutus, który przenosi funkcje z innych języków programowania do JavaScriptu, odkryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy funkcji call_user_func_array i jej wrappera call_user_func, które nieprawidłowo walidują elementy tablicy callback przed przekazaniem ich do eval().
- CVE-2026-25521Wysokie
W bibliotece Locutus (wersje od 2.0.12 do 2.0.38) wykryto podatność na zanieczyszczenie prototypu (prototype pollution). Mimo wcześniejszej łatki sprawdzającej zabronione klucze, atakujący może nadal manipulować Object.prototype poprzez specjalnie spreparowane dane wejściowe wykorzystujące String.prototype.
Oryginalny opis (angielski, źródło NVD)
Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to 3.0.14, the create_function(args, code) function passes both parameters directly to the Function constructor without any sanitization, allowing arbitrary code execution. This is distinct from CVE-2026-29091 which was call_user_func_array using eval() in v2.x. This finding affects create_function using new Function() in v3.x. This vulnerability is fixed in 3.0.14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS