CVE-2026-32304
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W bibliotece Locutus w wersji przed 3.0.14 funkcja create_function(args, code) przekazuje oba parametry bezpośrednio do konstruktora Function bez żadnej sanityzacji, co umożliwia zdalne wykonanie dowolnego kodu JavaScript. Podatność ta dotyczy gałęzi v3.x i różni się od wcześniejszej luki CVE-2026-29091.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu JavaScript w kontekście aplikacji używającej Locutus, co może prowadzić do przejęcia kontroli nad sesją użytkownika, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Locutus do wersji 3.0.14 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać używania funkcji create_function z niezaufanymi danymi wejściowymi.
Oryginalny opis (angielski, źródło NVD)
Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to 3.0.14, the create_function(args, code) function passes both parameters directly to the Function constructor without any sanitization, allowing arbitrary code execution. This is distinct from CVE-2026-29091 which was call_user_func_array using eval() in v2.x. This finding affects create_function using new Function() in v3.x. This vulnerability is fixed in 3.0.14.