CVE-2026-43898

Krytyczne

Opublikowano: 28/05/2026(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

SandboxJS to biblioteka do sandboxingu JavaScript. W wersjach przed 0.9.6 funkcje zdefiniowane w sandboxie ujawniają Function.caller, co pozwala na odzyskanie wewnętrznego wywołania runtime LispType.Call.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu JavaScript w kontekście hosta, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji.

Rekomendacja

Zaleca się aktualizację do wersji 0.9.6 lub nowszej, aby usunąć tę podatność.

Oryginalny opis (angielski, źródło NVD)

SandboxJS is a JavaScript sandboxing library. Prior to 0.9.6, sandbox-defined functions expose Function.caller, allowing sandboxed code to recover the internal LispType.Call runtime callback. That callback can then be invoked with attacker-controlled fake context and obj values to extract blocked host statics, recover the real host Function constructor, and execute arbitrary host JavaScript. This vulnerability is fixed in 0.9.6.