CVE-2026-26954

إصدارات SandboxJS السابقة للإصدار 0.8.34

SandboxJS هي مكتبة لـ JavaScript مخصصة لعزل البرامج (sandboxing) معرضة لثغرة تسمح بالخروج من بيئة العزل. تنشأ المشكلة من إمكانية الحصول على مصفوفات تحتوي على مُنشئ Function. وبالاقتران مع Object.fromEntries، يتيح ذلك إنشاء كائنات ذات خصائص قادرة على تنفيذ تعليمات برمجية عشوائية، مما يؤدي إلى الهروب الكامل من بيئة الحماية. ويوضح دليل الإثبات (PoC) المقدم استغلال هذه المشكلة باستخدام process.getBuiltinModule(”child process“).execSync(’ls‘, {stdio: ”inherit“}) لتنفيذ أوامر النظام. يمكن أن تؤدي هذه الثغرة الأمنية إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) بشكل صريح. المتغير المعرض للخطر هو Function.

يجب تحديث الإصدارات الأقدم من 0.8.34 إلى الإصدار 0.8.34 أو أحدث.