CVE-2026-0821: Estouro de buffer baseado em heap em js_typed_array_constructor do quickjs-ng QuickJS
A CVE-2026-0821 é um estouro de buffer baseado em heap (CWE-119) na função js_typed_array_constructor do arquivo quickjs.c do quickjs-ng QuickJS, em versões até 0.11.0 inclusive. A NVD atribui pontuação CVSS base 9,8 (crítica) com vetor de rede, e o registro referencia um commit de correção. Não há versão corrigida informada e não há exploração ativa confirmada nas fontes consultadas.
Visão geral
A CVE-2026-0821 é um estouro de buffer baseado em heap (CWE-119) na função js_typed_array_constructor do arquivo quickjs.c do quickjs-ng QuickJS. O registro a situa em versões até 0.11.0 inclusive e referencia um commit de correção no repositório upstream.
Impacto
- A NVD atribui pontuação CVSS base 9,8 (crítica), com vetor de rede, complexidade baixa, sem privilégios exigidos e sem interação do usuário, além de alto impacto em confidencialidade, integridade e disponibilidade.
- Outros avaliadores citados no registro (VulDB e cna@vuldb.com) apresentam pontuações menores, entre 5,5 e 7,5, conforme a versão da métrica.
- A descrição indica que o ataque pode ser lançado remotamente.
Produtos e versões afetadas
- Produto: quickjs-ng QuickJS.
- Faixa afetada: até 0.11.0 inclusive. O registro lista versões de 0.1 até 0.11.0.
- O registro não informa uma versão corrigida.
Status de exploração
- Esta CVE não consta nos dados do catálogo KEV da CISA presentes no registro, portanto essa fonte não confirma exploração ativa no mundo real.
- Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- A descrição afirma que o exploit foi divulgado publicamente e pode ser utilizado. Os dados SSVC classificam a exploração no nível de prova de conceito.
- A probabilidade EPSS é 0,0052 (cerca de 0,52%), com percentil 0,43352.
Correção e mitigação
- Identifique os sistemas que incorporam ou usam o quickjs-ng QuickJS na versão 0.11.0 ou anterior.
- Analise o commit upstream referenciado e aplique-o, ou migre para uma release que os mantenedores confirmem conter a correção.
- Quando a aplicação do patch for adiada, limite a exposição de componentes que processam JavaScript não confiável, conforme sua política interna.
Orientações de detecção
- Inventarie as versões do QuickJS em uso em aplicações, serviços e ambientes embarcados.
- Monitore falhas e encerramentos anormais de processos que executam QuickJS ao lidar com entradas não confiáveis.
- Acompanhe a issue upstream e as entradas da VulDB para mudanças de status.
Limitações das informações disponíveis
- O registro cita um commit de correção, mas não uma versão corrigida.
- As pontuações variam entre provedores e versões de métrica.
- Detalhes técnicos do gatilho foram omitidos intencionalmente nesta análise.
Perguntas frequentes
Quais versões do QuickJS são afetadas pela CVE-2026-0821?
O registro situa o problema no quickjs-ng QuickJS até 0.11.0 inclusive, e lista versões de 0.1 até 0.11.0.
Existe uma versão corrigida?
O registro não informa uma versão corrigida. Ele referencia um commit de correção no repositório upstream, então verifique com os mantenedores uma release que o inclua.
Esta vulnerabilidade está sendo explorada ativamente?
Esta CVE não consta nos dados KEV da CISA presentes no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A descrição afirma que existe exploit público.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.