CVE-2026-25587: SandboxJS: escape de sandbox via exposição do prototype de Map

Visão geral

SandboxJS é uma biblioteca de sandboxing para JavaScript. O registro informa que, antes da versão 0.8.29, Map está incluído na lista SAFE_PROTOYPES, o que torna seu prototype acessível de dentro do sandbox. O registro classifica a fraqueza como CWE-94 (Injeção de Código).

Impacto

O registro descreve uma fuga do sandbox, ou seja, código executado dentro do sandbox pode atuar fora do isolamento pretendido.
A pontuação base CVSS 3.1 informada pelo CNA é 10.0, com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.
Inferência: aplicações que executam JavaScript não confiável por meio do SandboxJS em uma versão afetada devem tratar o caso como de alto risco.

Produtos e versões afetadas

Produto: Nyariv Sandboxjs (SandboxJS).
Faixa afetada: versões anteriores à 0.8.29.
Corrigido em: 0.8.29, segundo o registro.
O registro não lista outras ramificações afetadas.

Status de exploração

CISA KEV: não listada no registro.
Não aparece, nas fontes consultadas, nenhuma exploração ativa confirmada ou status de explorada na natureza.
O aviso no GitHub está marcado como Exploit no registro. O conteúdo não foi revisado para esta análise, portanto nenhum detalhe de exploração é fornecido aqui.

Correção e mitigação

Atualize o SandboxJS para a versão 0.8.29 ou superior. O commit de correção é referenciado no registro.
Se a atualização não puder ser feita imediatamente, reduza a exposição evitando código não confiável no sandbox e adicionando isolamento de sistema operacional ou de contêiner ao processo. Esta é uma orientação defensiva geral, não uma recomendação do fornecedor.
Consulte o aviso do fornecedor para orientações adicionais.

Orientações de detecção

Inventarie aplicações e dependências para identificar instalações do SandboxJS abaixo da 0.8.29.
Revise os logs dos componentes que usam o sandbox em busca de erros inesperados ou interações incomuns com objetos do host.
O registro não fornece assinaturas de detecção específicas. Eventuais regras de monitoramento devem ser validadas pela equipe defensora.

Limitações das informações disponíveis

O registro não descreve prova de conceito, caminho de exploração detalhado nem incidentes reais.
O registro contém valores EPSS (probabilidade 0.00734, percentil 0.53186) com data de 2026-10-13, que deve ser verificada na fonte.
Não é possível determinar, a partir dos dados, se um produto específico usa o SandboxJS e em qual versão; isso deve ser verificado localmente.

Perguntas frequentes

Quais versões do SandboxJS são afetadas pelo CVE-2026-25587?

Segundo o registro, as versões anteriores à 0.8.29 são afetadas. O problema está corrigido na versão 0.8.29.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não está listada no CISA KEV, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.