CVE-2026-25207: Escrita fora dos limites no Samsung Open Source Escargot
A CVE-2026-25207 é uma falha de escrita fora dos limites (CWE-787) no Samsung Open Source Escargot, que o registro descreve como capaz de permitir estouros de buffer. A NVD atribui pontuação 9,8 (crítica), enquanto as entradas da própria Samsung indicam 7,4, e um pull request é referenciado como correção. O registro não mostra inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25207 é uma fraqueza de escrita fora dos limites classificada como CWE-787 no Samsung Open Source Escargot, um motor de JavaScript de código aberto. O registro descreve o problema como capaz de permitir estouros de buffer e identifica um commit específico do Escargot como afetado. O registro de origem foi publicado em 13/04/2026.
Impacto
A NVD atribui pontuação CVSS 9,8, com vetor de rede, baixa complexidade de ataque, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade. As entradas da própria Samsung pontuam o problema em 7,4. Os dados SSVC do registro classificam o impacto técnico como total.
- A corrupção de memória em um motor de script pode levar a travamentos ou execução de código, dependendo de como o motor é integrado (inferência).
- O impacto exato em cada produto Samsung não é conhecido a partir do registro.
Produtos e versões afetados
O registro lista duas entradas afetadas:
- Samsung Escargot, versão 2026-03-26.
- Samsung Open Source Escargot, versão 97e8115ab1110bc502b4b5e4a0c689a71520d335 (identificador de commit).
Nenhuma versão corrigida é informada no registro. Há uma referência de correção: pull request 1554 do Samsung Escargot. Não é possível saber, pelos dados disponíveis, se alguma versão publicada contém essa alteração.
Status de exploração
O registro não lista esta CVE no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. Os dados SSVC indicam exploração como none e automatizável como no. A entrada EPSS mostra probabilidade de 0,00188 e percentil de 0,07991, com data de 2026-10-23 que deve ser verificada na fonte.
Correção e mitigação
- Identifique se algum produto ou sistema interno incorpora o Samsung Escargot nas versões ou no commit afetados.
- Analise a referência de correção e aplique a atualização do fornecedor ou do projeto que inclua a alteração, após confirmar a disponibilidade da versão.
- Consulte o PSIRT da Samsung para orientações específicas de produto quando o Escargot estiver embutido em firmware ou equipamento.
- Limite a exposição de componentes que processam scripts ou conteúdo não confiável e aplique isolamento com privilégio mínimo quando viável.
Orientações de detecção
- Monitore travamentos inesperados, reinicializações ou falhas de segurança de memória em processos que executam o motor Escargot.
- Revise logs em busca de comportamento anormal em componentes que recebem entradas não confiáveis repassadas ao motor.
- Mantenha um inventário de versões de software para identificar rapidamente compilações afetadas.
Limitações das informações disponíveis
O registro não possui título em inglês, não informa versão corrigida, não traz informações de prova de conceito e não há aviso específico por produto além das entradas listadas. As pontuações CVSS diferem entre a NVD (9,8) e a Samsung (7,4). Não há indicação de quais produtos Samsung distribuem esse motor.
Perguntas frequentes
A CVE-2026-25207 é explorada ativamente?
O registro não a lista no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas. Os dados SSVC indicam exploração como none.
Quais versões são afetadas?
O registro lista o Samsung Escargot versão 2026-03-26 e o Samsung Open Source Escargot na versão 97e8115ab1110bc502b4b5e4a0c689a71520d335. Nenhuma versão corrigida é informada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.