CVE-2026-34987

Name of the Vulnerable Software and Affected Versions Wasmtime versões 25.0.0 até 36.0.6, 42.0.2 e 43.0.1

Description Wasmtime, um ambiente de execução para WebAssembly, pode permitir que o código WebAssembly convidado acesse a memória do host fora de sua sandbox designada quando usando o backend do compilador Winch. Isso ocorre devido a uma suposição incorreta no compilador Winch em relação aos deslocamentos de memória, permitindo potencialmente o acesso à memória antes ou depois da região de memória linear. Isso pode levar a uma condição de negação de serviço (DoS), vazamento de dados ou, potencialmente, execução remota de código (RCE). O caso aarch64 tem uma prova de conceito funcional, enquanto o caso x86-64 é teórico.

Recommendations Atualize para a versão 36.0.7, 42.0.2 ou 43.0.1 do Wasmtime.