CVE-2026-49143

WysokieCVSS 8.8

Opublikowano: 02/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

BrowserStack Runner w wersji do 0.9.5 zawiera podatność zdalnego wykonania kodu w handlerze HTTP /_log. Nieuwierzytelniony atakujący z sąsiedztwa sieciowego może wysłać spreparowane żądanie JSON, które jest przekazywane do vm.runInNewContext() z eval(), co pozwala na ucieczkę z piaskownicy Node.js i pełne zdalne wykonanie kodu na systemie.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę nad systemem bez uwierzytelnienia, co stanowi krytyczne zagrożenie dla poufności, integralności i dostępności.

Rekomendacja

Należy natychmiast zaktualizować BrowserStack Runner do wersji powyżej 0.9.5 lub zastosować dostępne łatki zabezpieczające.

Inne podatności w BrowserStack Runner

CVE-2026-49144Średnie
BrowserStack Runner do wersji 0.9.5 zawiera podatność na path traversal w domyślnym handlerze HTTP w pliku lib/server.js, która pozwala nieuwierzytelnionym atakującym w tej samej sieci na odczyt dowolnych plików. Atakujący mogą wykorzystać nieuwierzytelniony serwer HTTP nasłuchujący na wszystkich interfejsach, aby wyjść poza katalog projektu i uzyskać dostęp do wrażliwych plików.

Oryginalny opis (angielski, źródło NVD)

BrowserStack Runner through 0.9.5 contains a remote code execution vulnerability in the /_log HTTP handler that allows unauthenticated network-adjacent attackers to execute arbitrary code by submitting crafted JSON request bodies to the handler, which passes user-supplied data to vm.runInNewContext() combined with eval(). Attackers can escape the Node.js vm sandbox by leveraging a host-context Function reference through util.format to access the host process via this.constructor.constructor, achieving full remote code execution on the underlying system without any authentication.