CVE-2026-5752: Fuga de sandbox no Terrarium por percurso de cadeia de protótipos JavaScript

Visão geral

A CVE-2026-5752 é uma vulnerabilidade de fuga de sandbox no Terrarium. O registro da CVE foi publicado em 14/04/2026, com o CERT/CC como CNA, e permanece em status Awaiting Analysis. De acordo com a descrição do registro, o percurso da cadeia de protótipos do JavaScript pode levar à execução de código com privilégios de root em um processo hospedeiro.

Impacto

O registro descreve execução arbitrária de código com privilégios de root em um processo hospedeiro, resultado grave caso código não confiável seja executado dentro da sandbox.
O vetor CVSS 3.1 é CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, que indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
O vetor indica vetor de ataque local, sem exigência de privilégios e sem interação do usuário. As condições exatas de exploração não são descritas no registro.

Produtos e versões afetadas

O registro não lista versões afetadas nem versões corrigidas.
O registro referencia o repositório no GitHub cohere-ai/cohere-terrarium. Considerar esse repositório como o projeto afetado é uma inferência que deve ser confirmada com materiais do fornecedor ou do CERT/CC.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0,0022, uma estimativa estatística que não é evidência de exploração.

Correção e mitigação

Consulte a nota de vulnerabilidade do CERT/CC e o repositório do projeto para verificar comunicados do fornecedor, correções ou medidas de contorno, já que o registro não traz uma correção.
Até que exista uma correção verificada, limite o uso do Terrarium a código confiável, evite executar JavaScript não confiável em ambientes nos quais o processo hospedeiro tenha privilégios elevados e aplique o princípio do menor privilégio aos processos hospedeiros.
Isole os hospedeiros de sandbox de sistemas sensíveis e restrinja acessos de rede e de arquivos quando possível.

Orientações de detecção

Monitore processos hospedeiros que executam o Terrarium quanto a processos filhos inesperados, mudanças de privilégio ou atividade incomum de arquivos e rede.
Registre e revise requisições de execução na sandbox que contenham padrões incomuns de manipulação de objetos, em nível de alto nível, para apoiar a triagem de incidentes.

Limitações das informações disponíveis

O registro não tem classificação CWE, versões afetadas ou corrigidas, nem dados SSVC.
A data EPSS no registro (13/10/2026) é posterior à data de publicação e deve ser verificada no feed EPSS atual.
O registro não inclui detalhes técnicos além da descrição, portanto as condições precisas de exploração são desconhecidas.

Perguntas frequentes

O que é a CVE-2026-5752?

É uma vulnerabilidade de fuga de sandbox no Terrarium que, segundo a descrição da CVE, permite execução arbitrária de código com privilégios de root em um processo hospedeiro por meio de percurso de cadeia de protótipos JavaScript.

A CVE-2026-5752 está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas e existe correção?

O registro não lista versões afetadas nem corrigidas. Consulte a nota do CERT/CC e o repositório do projeto para orientações do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.