CVE-2026-23830: SandboxJS: escape de sandbox via construtor AsyncFunction (CWE-94)
As versões do SandboxJS anteriores à 0.8.26 contêm uma fuga de sandbox em que o construtor AsyncFunction do host fica acessível a partir do interior da sandbox pela propriedade constructor de uma função assíncrona. O aviso descreve que isso pode permitir a execução de código fora da sandbox com possível acesso total ao host, e o CNA do GitHub classifica a falha como crítica, com pontuação CVSS 3.1 de 10. A versão 0.8.26 contém a correção, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O SandboxJS é uma biblioteca de sandboxing para JavaScript. A CVE-2026-23830 afeta versões anteriores à 0.8.26, nas quais o mapa de substituição segura da biblioteca não cobria AsyncFunction, GeneratorFunction e AsyncGeneratorFunction. Segundo o aviso de segurança do GitHub, código dentro da sandbox podia obter o construtor AsyncFunction do host pela propriedade constructor de uma função assíncrona, o que o aviso descreve como fuga de sandbox.
Impacto
- O aviso descreve uma fuga da sandbox para o ambiente do host, com possível acesso total ao host (execução remota de código).
- O vetor CVSS 3.1 informado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com pontuação 10 e severidade crítica segundo o CNA do GitHub.
- A fraqueza é classificada como CWE-94, Injeção de Código.
Produtos e versões afetados
- Produto: Nyariv Sandboxjs (SandboxJS).
- Faixa afetada: versões anteriores à 0.8.26.
- Corrigido em: 0.8.26, conforme o aviso e o commit de correção referenciado.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA no registro analisado, portanto não há relato de exploração ativa. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. A referência do GitHub está marcada como relacionada a exploit, mas o registro não traz mais detalhes sobre exploração.
Correção e mitigação
- Atualize o SandboxJS para a versão 0.8.26 ou superior. O commit de correção consta no registro.
- Faça o inventário de aplicações e dependências que incorporam o SandboxJS, incluindo dependências transitivas.
- Até que a atualização seja aplicada, considere a sandbox pouco confiável como limite de segurança para código não confiável.
Orientações de detecção
- Identifique as versões do SandboxJS instaladas em SBOMs e arquivos de lock.
- Revise os fluxos em que scripts não confiáveis são avaliados e confirme que a versão em execução é 0.8.26 ou superior.
- Monitore atividades inesperadas no host originadas de processos que avaliam código fornecido por usuários.
Limitações das informações disponíveis
O registro não inclui pontuação EPSS, dados SSVC nem pontuação CVSS atribuída pelo NVD. Não são descritas medidas de contorno além da atualização. As fontes não permitem afirmar se a falha foi explorada. A quantidade e a natureza das implantações afetadas são desconhecidas.
Perguntas frequentes
Quais versões do SandboxJS são afetadas pela CVE-2026-23830?
O registro indica a faixa afetada como versões anteriores à 0.8.26. Atualizar para a 0.8.26 ou superior resolve o problema, conforme o aviso e o commit de correção referenciado.
Qual é a causa raiz?
A sandbox substitui o construtor global Function por uma versão segura, mas o mapeamento omitia AsyncFunction, GeneratorFunction e AsyncGeneratorFunction. Esses construtores são acessíveis pela propriedade constructor de uma instância de função, de modo que a versão do host podia ser devolvida ao código da sandbox.
Há registro de exploração dessa vulnerabilidade?
O registro não mostra inclusão no catálogo KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. A referência do GitHub está marcada como relacionada a exploit, mas não há mais detalhes sobre exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.