CVE-2026-49143

إصدارات BrowserStack Runner الأقدم من 0.9.6

تسمح ثغرة في معالج HTTP / log للمهاجمين غير المصادق عليهم والمتصلين بشبكة مجاورة بتنفيذ تعليمات برمجية تعسفية على نظام المضيف. يقوم المعالج بمعالجة نصوص طلبات JSON عن طريق تمرير البيانات التي يقدمها المستخدم إلى الدالة vm.runInNewContext() مقترنةً بـ eval(). ونظرًا لأن الوحدة النمطية vm ليست آلية أمان، يمكن للمهاجمين الهروب من بيئة الحماية (sandbox) في Node.js من خلال الاستفادة من مرجع دالة في سياق المضيف عبر util.format للوصول إلى عملية المضيف عبر this.constructor.constructor. وهذا يسمح بتنفيذ كامل للكود عن بُعد على النظام الأساسي. تعتبر نقطة النهاية / log معرضة للخطر بشكل خاص لأنها لا تتطلب مصادقة UUID التي تستخدمها معالجات أخرى مثل progress و report.

بالنسبة للإصدارات السابقة للإصدار 0.9.6، قم بإزالة استخدام eval() وvm.runInNewContext() في معالج / log واستبدالهما بـ JSON.stringify() لتسجيل آمن.

قم بتنفيذ مصادقة UUID لمعالج / log لتتوافق مع مستوى الأمان الخاص بمعالجي progress و report.

قم بتكوين خادم HTTP للارتباط بـ 127.0.0.1 بدلاً من 0.0.0.0 لتقييد الوصول إلى الشبكة.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الشبكة لنقطة النهاية / log.