CVE-2026-25142: Escape de sandbox no SandboxJS via __lookupGetter__ (acesso a protótipos)
Versões do SandboxJS anteriores à 0.8.27 não restringem adequadamente o __lookupGetter__, que, segundo o registro, pode ser usado para obter protótipos e permitir escape do sandbox e possível execução remota de código. O provedor GitHub classifica a falha como crítica, com pontuação CVSS 3.1 base igual a 10. O registro identifica a versão 0.8.27 como corrigida e não informa exploração ativa confirmada.
Visão geral
SandboxJS é uma biblioteca de sandboxing para JavaScript. Segundo o registro, versões anteriores à 0.8.27 não restringem adequadamente o __lookupGetter__, que pode ser usado para obter protótipos. O registro classifica a fraqueza como CWE-1321 (Prototype Pollution) e informa que ela está corrigida na versão 0.8.27.
Impacto
- O registro afirma que a fraqueza pode ser usada para escapar do sandbox e levar à execução remota de código.
- A pontuação CVSS 3.1 base registrada pelo provedor GitHub Security Advisories é 10, classificada como crítica. O vetor indica acesso pela rede, sem necessidade de privilégios ou interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Produtos afetados e versões
- Produto: Nyariv SandboxJS.
- Faixa afetada: versões anteriores à 0.8.27.
- Versão corrigida: 0.8.27.
- O registro vincula um commit de correção no repositório do SandboxJS.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há confirmação de exploração ativa. Uma referência do registro tem a etiqueta Exploit, mas isso sozinho não confirma exploração no mundo real. Não há pontuação EPSS disponível.
Correção e mitigação
- Atualize o SandboxJS para a versão 0.8.27 ou superior, conforme indicado no aviso do GitHub.
- Se a atualização imediata não for possível, reduza a exposição evitando a execução de código não confiável no sandbox e executando-o em processo isolado com privilégios mínimos.
- O registro não descreve workaround específico.
Orientações de detecção
- Inventarie dependências e arquivos de lock para identificar onde o SandboxJS é usado e qual versão está presente.
- Revise os caminhos da aplicação que enviam entradas de usuários ou de terceiros ao sandbox.
- Monitore processos filhos inesperados, conexões de saída incomuns e erros anômalos no ambiente que executa o sandbox.
Limitações das informações disponíveis
- O registro não traz detalhes técnicos de exploração nem prova de conceito, e esta análise não os fornece.
- Esta análise se baseia apenas nos dados do registro e nas referências citadas; o texto completo do aviso não foi revisado de forma independente.
- O registro não contém dados EPSS ou SSVC.
- O registro não tinha título, então o título foi redigido a partir da descrição e do produto afetado.
Perguntas frequentes
Esta vulnerabilidade está corrigida?
Segundo o registro, sim: está corrigida na versão 0.8.27, e o registro vincula um commit de correção no repositório do SandboxJS.
Há exploração ativa no mundo real?
O registro indica que a falha não consta no catálogo KEV da CISA, e nas fontes consultadas não há confirmação de exploração ativa.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.