SandboxJS: सैंडबॉक्स इंटीग्रिटी एस्केप (Sandbox integrity escape)

CVE-2026-34208 SandboxJS को प्रभावित करता है, जिससे हमलावरों को वैश्विक वस्तुओं में प्रत्यक्ष संशोधन को रोकने के लिए डिज़ाइन किए गए सुरक्षात्मक उपायों को दरकिनार करने की अनुमति मिलती है। भेद्यता एक उजागर कंस्ट्रक्टर पथ में निहित है जो दुर्भावनापूर्ण कोड को होस्ट के वैश्विक वस्तुओं में मनमाना गुण लिखने की अनुमति देता है। यह विशेष रूप से गंभीर है क्योंकि इन संशोधनों को एक ही प्रक्रिया के भीतर संचालित होने वाले विभिन्न सैंडबॉक्स उदाहरणों के बीच कायम रह सकता है, जिससे एप्लिकेशन की अखंडता से समझौता होता है। CVSS स्कोर 10.0 एक गंभीर भेद्यता का संकेत देता है जिसमें संभावित रूप से विनाशकारी प्रभाव पड़ता है, खासकर उन वातावरणों में जहां SandboxJS का उपयोग अविश्वसनीय कोड को अलग करने के लिए किया जाता है।

Applications utilizing @nyariv/sandboxjs for sandboxing JavaScript code are at risk, particularly those deployed in Node.js environments. This includes applications that dynamically execute user-provided code or interact with untrusted data sources. Shared hosting environments where multiple applications share the same Node.js process are especially vulnerable, as a compromise in one application could potentially affect others.

• nodejs / server:

  npm list @nyariv/sandboxjs

• nodejs / server:

  grep -r 'this.constructor.call(target, attackerObject)' ./node_modules/@nyariv/sandboxjs/

• nodejs / server:

  npm audit @nyariv/sandboxjs

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-26
2. प्रकाशित2026-04-03
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-14

CVE-2026-34208 के लिए प्राथमिक शमन SandboxJS को संस्करण 0.8.36 या बाद के संस्करण में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो उजागर कंस्ट्रक्टर पथ को अवरुद्ध करता है। इस बीच, एक अस्थायी उपाय के रूप में, सैंडबॉक्स के भीतर Function.prototype.call तक पहुंच को प्रतिबंधित करने की सिफारिश की जाती है, हालांकि यह कुछ अनुप्रयोगों की कार्यक्षमता को प्रभावित कर सकता है। किसी भी संभावित उपयोग की पहचान करने और यदि आवश्यक हो तो अतिरिक्त पैच लागू करने के लिए कोड ऑडिट किया जाना चाहिए। संदिग्ध गतिविधि के लिए एप्लिकेशन लॉग की निगरानी भी संभावित हमलों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है।