CVE-2026-25641: Escape de sandbox no SandboxJS por coerção de chave de propriedade

Visão geral

O SandboxJS é uma biblioteca de sandboxing para JavaScript. De acordo com o registro, versões anteriores à 0.8.29 contêm um escape de sandbox causado por uma incompatibilidade entre a chave validada e a chave usada no acesso à propriedade. O registro informa que a chave é anotada como string, mas essa regra nunca é imposta, de modo que um objeto pode produzir valores de string diferentes na etapa de validação e na etapa de acesso. Segundo o registro, a falha está corrigida na 0.8.29.

Impacto

A NVD atribui pontuação base CVSS 3.1 igual a 9, com vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H, enquanto o CNA GitHub atribui 10 na mesma versão do CVSS.
O vetor indica alto impacto em confidencialidade, integridade e disponibilidade, com escopo alterado.
Um escape de sandbox significaria que código executado dentro da sandbox poderia alcançar recursos do ambiente hospedeiro. Trata-se de uma inferência a partir da descrição e do vetor, não de uma afirmação do registro.

Produtos e versões afetadas

O registro lista o Nyariv Sandboxjs com versões inferiores à 0.8.29 como afetadas.
O registro vincula um commit de correção que corresponde à solução na 0.8.29.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível afirmar exploração ativa confirmada. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. A probabilidade EPSS no registro é 0,00576, com percentil de 0,45998. A referência ao aviso do GitHub está marcada como Exploit no registro, mas essa marcação, por si só, não confirma exploração.

Correção e mitigação

Atualize o SandboxJS para a versão 0.8.29 ou superior, que o registro identifica como versão corrigida.
Revise qualquer aplicação que execute código não confiável ou fornecido por usuários por meio do SandboxJS e priorize a atualização desses sistemas.
Quando a atualização imediata não for possível, reduza a exposição limitando quais entradas podem chegar à sandbox. O registro não descreve uma solução alternativa específica.

Orientações de detecção

Faça o inventário de dependências para identificar onde o SandboxJS é usado e qual versão está instalada.
Monitore aplicações que executam código não confiável em busca de comportamento inesperado que possa indicar violação dos limites da sandbox. Trata-se de recomendação geral de alto nível, não de uma assinatura extraída do registro.

Limitações das informações disponíveis

O CWE do registro é o CWE-367 (Condição de Corrida TOCTOU), enquanto a descrição indica uma incompatibilidade entre validação e coerção de chave de propriedade. Não é possível saber apenas pelo registro se a classificação corresponde à causa raiz.
O registro não traz título em inglês, portanto o título aqui é um resumo editorial.
As fontes não fornecem prova de conceito nem análise técnica detalhada além da descrição, e esta análise não inclui esse material.
A data do EPSS no registro não foi verificada em fonte independente.

Perguntas frequentes

Quais versões do SandboxJS são afetadas pela CVE-2026-25641?

O registro lista versões do Nyariv Sandboxjs inferiores à 0.8.29 como afetadas e informa que a falha está corrigida na 0.8.29.

A CVE-2026-25641 é conhecida por ser explorada ativamente?

O registro mostra que esta CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.

Qual é a pontuação CVSS da CVE-2026-25641?

A NVD atribui pontuação base CVSS 3.1 igual a 9 e o CNA GitHub atribui 10. O registro informa o vetor da NVD CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.