CVE-2026-25586: SandboxJS: fuga de sandbox com poluição de protótipo
O SandboxJS, biblioteca de sandboxing para JavaScript, é afetado por uma fuga de sandbox nas versões anteriores à 0.8.29. A falha permite contornar a aplicação da lista de permissões de protótipos e poluir o Object.prototype do host, com possíveis efeitos persistentes entre sandboxes. O GitHub classifica como crítica (pontuação base CVSS 3.1 de 10), e a atualização para a versão 0.8.29 é a correção documentada.
Visão geral
O SandboxJS é uma biblioteca de sandboxing para JavaScript. Segundo o aviso de segurança do GitHub GHSA-jjpw-65fv-8g48, as versões anteriores à 0.8.29 permitem uma fuga de sandbox que enfraquece a aplicação da lista de permissões de protótipos e pode levar à poluição do Object.prototype do host. O registro classifica a fraqueza como CWE-74 (Injeção).
Impacto
- A pontuação base CVSS 3.1 registrada é 10 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, fornecida pelo GitHub.
- A descrição indica que o impacto inclui poluição de protótipo no host e efeitos persistentes entre sandboxes.
- O vetor indica escopo alterado e impacto alto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto: Nyariv SandboxJS (listado no registro como Nyariv Sandboxjs).
- Faixa afetada registrada: versões abaixo da 0.8.29.
- Versão corrigida: 0.8.29, conforme a descrição e o commit de correção.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. Uma referência está marcada como Exploit no registro, mas essa marcação isoladamente não confirma exploração no mundo real.
Correção e mitigação
- Atualize o SandboxJS para a versão 0.8.29 ou superior, que contém a correção.
- Faça o inventário de dependências diretas e transitivas para localizar todas as cópias da biblioteca, inclusive cópias aninhadas nos arquivos de lock.
- Priorize aplicações que executam código semiconfiável ou fornecido por usuários dentro da sandbox, pois é nesse cenário que a fuga tem maior relevância.
- As fontes consultadas não documentam alternativas de contorno além da atualização; qualquer medida adicional deve ser validada pela equipe responsável.
Orientações de detecção
- Verifique listas de materiais de software (SBOM) e manifestos de pacotes em busca de versões do SandboxJS anteriores à 0.8.29.
- Monitore processos do host em busca de alterações inesperadas em objetos de protótipo nativos, o que seria compatível com poluição de protótipo.
- Revise os registros da aplicação relativos à execução em sandbox após a implantação, sem depender de um padrão específico de ataque.
Limitações das informações disponíveis
- O registro não descreve implantações reais, tipos de aplicação afetados nem alternativas de contorno além da atualização.
- A entrada EPSS está datada de 2026-10-13, posterior à data de publicação de 2026-02-06 informada no registro; essa data deve ser verificada na fonte EPSS antes do uso.
- O registro não inclui uma avaliação separada do NVD, portanto os dados de CVSS dependem da pontuação fornecida pelo GitHub.
Perguntas frequentes
Quais versões do SandboxJS são afetadas pela CVE-2026-25586?
O registro lista as versões abaixo da 0.8.29 como afetadas. A versão corrigida, citada na descrição e na referência de correção, é a 0.8.29.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. Mesmo assim, a atualização deve ser priorizada devido à classificação crítica.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.