CVE-2026-25881: @nyariv/sandboxjs: poluição de protótipo no host por fuga de sandbox
As versões do SandboxJS anteriores à 0.8.31 permitem que código executado no sandbox modifique protótipos nativos do host, fazendo com que referências a protótipos globais passem por arrays e percam a flag de proteção isGlobal. Segundo o registro, isso causa poluição de protótipo persistente no host, que pode permitir execução remota de código em aplicações que usam propriedades poluídas em pontos sensíveis. A correção está disponível na versão 0.8.31.
Visão geral
O SandboxJS é uma biblioteca de sandboxing para JavaScript. Segundo o registro, versões anteriores à 0.8.31 permitem que código em sandbox contorne a flag de proteção isGlobal ao passar referências a protótipos globais, como Map.prototype, por meio de arrays literais. Isso possibilita a modificação direta de protótipos nativos do host.
Impacto
- Poluição persistente de protótipo no processo host.
- O registro indica que isso pode permitir execução remota de código em aplicações que usam propriedades poluídas em pontos sensíveis.
- A pontuação 10 informada pelo NVD reflete alto impacto em confidencialidade, integridade e disponibilidade.
Versões e produtos afetados
- Nyariv Sandboxjs anteriores à 0.8.31.
- A correção está incluída na versão 0.8.31.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como no. A referência do aviso está marcada como Exploit no registro, mas essa marcação não comprova exploração real.
Correção e mitigação
- Atualize o SandboxJS para a versão 0.8.31 ou superior.
- Caso a atualização não possa ser feita imediatamente, siga as orientações de mitigação do aviso do fornecedor.
- Reduza a exposição limitando quais códigos não confiáveis são executados dentro do sandbox.
Orientações de detecção
- Faça o inventário de dependências para identificar instalações do SandboxJS anteriores à 0.8.31.
- Monitore processos host de longa duração quanto a alterações inesperadas em protótipos nativos, em nível geral.
Limitações das informações disponíveis
- As pontuações variam por fornecedor: o NVD informa 10, o GitHub informa 9.1 e outro provedor informa 9.
- O registro não descreve em detalhes o caminho de código vulnerável além das referências ao commit e ao aviso.
- A data da entrada EPSS deve ser verificada na fonte antes de ser utilizada.
- A explorabilidade em uma aplicação específica depende de como ela usa propriedades poluídas, o que o registro não descreve.
Perguntas frequentes
Quais versões do SandboxJS são afetadas?
Segundo o registro, as versões anteriores à 0.8.31 são afetadas, e a correção está disponível na 0.8.31.
Esta vulnerabilidade está sendo explorada ativamente?
Esta CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Identificar instalações do SandboxJS e atualizar para a versão 0.8.31 ou superior. Se isso não for possível de imediato, seguir as orientações de mitigação do aviso do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.