CVE-2026-32304

إصدارات Locutus السابقة للإصدار 3.0.14

Locutus هي مكتبة JavaScript تهدف إلى نقل المكتبات القياسية من لغات البرمجة الأخرى إلى JavaScript لأغراض تعليمية. تقوم الدالة create function(args, code) في الإصدارات السابقة للإصدار 3.0.14 بتمرير كلا المعلمتين مباشرةً إلى مُنشئ Function دون أي عملية تنقية. وهذا يسمح بتنفيذ تعليمات برمجية عشوائية. تكمن المشكلة في الملف src/php/funchand/create function.ts، وتحديدًا في السطر 17، حيث يتم استخدام new Function(...params, code) دون التحقق من صحة المدخلات. يمكن للمهاجم الذي يستطيع التحكم في أي من معلمتي الدالة create function() تحقيق تنفيذ كامل للتعليمات البرمجية عن بُعد (RCE). ويُحتمل أن يتأثر ما يقارب 597,000 تنزيل أسبوعي من npm بهذه المشكلة. يُظهر إثبات المفهوم (PoC) القدرة على تنفيذ أوامر النظام باستخدام require(”child process“).execSync(”id“) من خلال الدالة المعرضة للخطر. تختلف هذه المشكلة عن CVE-2026-29091، التي تضمنت استخدام call user func array مع eval() في الإصدارات الأقدم.

التحديث إلى إصدار Locutus 3.0.14 أو أحدث.

إزالة الدالة create function.

إذا تعذر إزالتها، فاستبدل new Function() ببديل آمن.