CVE-2026-25520: SandboxJS: escape do sandbox por valores de retorno de funções não encapsulados
A CVE-2026-25520 afeta versões do SandboxJS anteriores à 0.8.29, nas quais os valores de retorno das funções não são encapsulados, permitindo alcançar objetos do host a partir do sandbox. O registro descreve um caminho para executar código arbitrário fora do sandbox, e a correção está disponível na 0.8.29. A pontuação base CVSS 3.1 registrada é 10.0 (crítica), e o catálogo KEV da CISA não a lista.
Visão geral
O SandboxJS é uma biblioteca de sandboxing para JavaScript. Segundo o registro, antes da versão 0.8.29 os valores de retorno das funções não eram encapsulados, o que permitia alcançar objetos do host a partir de dentro do sandbox. O aviso do fabricante está em GHSA-58jh-xv4v-pcx4 e a correção está no commit 67cb186.
Impacto
- O registro informa pontuação base CVSS 3.1 de 10.0, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, fornecida pelo CNA GitHub Security Advisories.
- A descrição afirma que o problema pode ser usado para executar código arbitrário fora do sandbox.
- A métrica de escopo está registrada como alterada, o que sugere que o impacto pode ir além do componente vulnerável (inferência a partir do vetor).
Produtos e versões afetados
- Produto: Nyariv Sandboxjs, versões anteriores à 0.8.29.
- O registro informa que a vulnerabilidade está corrigida na 0.8.29.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. Uma referência está marcada como Exploit, mas essa marcação, por si só, não confirma exploração no mundo real.
Correção e mitigação
- Atualize o SandboxJS para a versão 0.8.29 ou posterior.
- Revise o commit de correção para confirmar a mudança no seu build.
- Se não for possível atualizar imediatamente, evite executar código não confiável dentro do sandbox e não o trate como fronteira de segurança (inferência).
- Execute o processo hospedeiro com privilégio mínimo para limitar o alcance de uma falha do sandbox (inferência).
Orientação para detecção
- Inventarie aplicações e dependências que incluem o SandboxJS e registre as versões instaladas.
- Monitore atividade inesperada de processos, arquivos ou rede originada pela aplicação hospedeira que executa scripts em sandbox.
- Revise os logs da aplicação em busca de scripts em sandbox que se comportem fora do escopo esperado.
Limitações das informações disponíveis
- O registro fornece apenas o limite 'menor que 0.8.29' e não lista versões intermediárias.
- O registro não descreve assinaturas de detecção nem indicadores de comprometimento.
- Produtos derivados que incorporam o SandboxJS não são listados no registro.
- Os valores EPSS são estimativas probabilísticas e não confirmam exploração.
Perguntas frequentes
Quais versões do SandboxJS são afetadas pela CVE-2026-25520?
O registro indica como afetadas as versões menores que 0.8.29. A correção está disponível na 0.8.29.
A CVE-2026-25520 é conhecida por ser explorada ativamente?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualize o SandboxJS para a versão 0.8.29 ou posterior. Se isso não for possível de imediato, evite executar código não confiável no sandbox e aplique privilégio mínimo ao processo hospedeiro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.