プラットフォーム
nodejs
コンポーネント
@nyariv/sandboxjs
修正版
0.8.28
0.8.27
CVE-2026-25142は、Node.jsパッケージ@nyariv/sandboxjsにおけるRemote Code Execution (RCE)脆弱性です。この脆弱性は、サンドボックスの制限を回避し、攻撃者が任意のコードを実行することを可能にします。影響を受けるバージョンは0.8.27より前のものです。2026年2月2日に公開され、0.8.27へのアップデートで修正されています。
この脆弱性は非常に深刻であり、攻撃者はサンドボックスを完全にバイパスし、ホストシステム上で任意のコードを実行できる可能性があります。攻撃者は、この脆弱性を悪用して機密情報を盗んだり、システムを完全に制御したりする可能性があります。SandboxJSは、JavaScriptコードを安全な環境で実行するために使用されるため、この脆弱性の悪用は広範囲にわたる影響を及ぼす可能性があります。攻撃者は、悪意のあるコードをSandboxJSを介して実行し、システムに損害を与える可能性があります。
この脆弱性は、公開されているPoCが存在するため、悪用される可能性が高いと考えられます。KEVへの登録状況は不明ですが、CVSSスコアが10 (CRITICAL)であることから、高リスクの脆弱性として認識されるべきです。攻撃者は、この脆弱性を悪用して、Node.jsアプリケーションを標的とする攻撃キャンペーンを開始する可能性があります。
Applications utilizing @nyariv/sandboxjs for sandboxing or isolating untrusted code are at significant risk. This includes web applications, desktop applications, and any environment where user-provided code is executed within a controlled environment. Developers relying on SandboxJS for security should prioritize upgrading to the patched version.
• nodejs / supply-chain:
npm list @nyariv/sandboxjs• nodejs / supply-chain:
npm audit @nyariv/sandboxjs• nodejs / supply-chain:
grep -r "__lookupGetter__" node_modules/@nyariv/sandboxjs/disclosure
poc
patch
エクスプロイト状況
EPSS
0.21% (43% パーセンタイル)
CISA SSVC
この脆弱性への最善の対応は、@nyariv/sandboxjsをバージョン0.8.27にアップデートすることです。アップデートできない場合は、SandboxJSの使用を一時的に停止するか、サンドボックス内で実行されるコードを厳密に制限することを検討してください。WAFやプロキシサーバーを使用して、悪意のあるコードの実行をブロックすることも有効です。アップデート後、SandboxJSの動作をテストし、脆弱性が修正されていることを確認してください。
SandboxJS ライブラリをバージョン 0.8.27 以降にアップデートしてください。このバージョンは、リモートコード実行を可能にするプロトタイプ汚染の脆弱性を修正しています。アップデートするには、npm パッケージマネージャーを使用してください: `npm install sandboxjs@latest`。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-25142は、Node.jsパッケージ@nyariv/sandboxjsにおけるRemote Code Execution (RCE)脆弱性です。lookupGetterの不適切な制限により、サンドボックスを脱出し、攻撃者が任意のコードを実行できるようになります。
はい、影響があります。バージョン0.8.27より前の@nyariv/sandboxjsを使用している場合、この脆弱性により攻撃者がシステム上で任意のコードを実行されるリスクがあります。
この脆弱性を修正するには、@nyariv/sandboxjsをバージョン0.8.27にアップデートしてください。アップデートできない場合は、SandboxJSの使用を一時的に停止するか、サンドボックス内で実行されるコードを厳密に制限することを検討してください。
公開されているPoCが存在するため、悪用される可能性が高いと考えられます。
公式アドバイザリは、GitHubリポジトリのissueトラッカーで確認できます: https://github.com/nyariv/SandboxJS/issues
CVSS ベクトル