プラットフォーム
nodejs
コンポーネント
@nyariv/sandboxjs
修正版
0.8.30
0.8.29
CVE-2026-25587は、Node.jsパッケージ@nyariv/sandboxjsのSAFE_PROTOYPESにおける脆弱性です。この脆弱性は、Mapプロトタイプのhasメソッドをオーバーライドすることでサンドボックスを脱出することを可能にします。影響を受けるバージョンは0.8.29より前であり、0.8.29へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はサンドボックス環境を突破し、ホストシステム上で任意のコードを実行する可能性があります。これは、サンドボックス内で実行されるべき信頼できないコードが、ホストシステムの機密情報にアクセスしたり、システムを制御したりするリスクを高めます。この脆弱性は、CVE-2026-25142と類似した攻撃パターンを持ち、JavaScriptコードの実行制御を完全に奪われる可能性があります。攻撃者は、サンドボックス内で実行されるコードを改ざんし、ホストシステムに悪意のある操作を実行する可能性があります。
この脆弱性は、2026年2月5日に公開されました。現時点では、公開されているPoCは確認されていませんが、類似の脆弱性（CVE-2026-25142）の存在から、攻撃者による悪用が懸念されます。CISA KEVリストへの登録状況は不明です。この脆弱性の深刻度は非常に高く、早急な対応が必要です。
Applications utilizing @nyariv/sandboxjs to isolate untrusted code are at significant risk. This includes web applications, desktop applications, and any environment where JavaScript code is executed within a sandboxed environment. Projects relying on older versions of the library, particularly those with limited security monitoring, are especially vulnerable.
• nodejs / supply-chain:
npm list @nyariv/sandboxjs• nodejs / supply-chain:
npm audit @nyariv/sandboxjs• generic web: Inspect application code for usage of @nyariv/sandboxjs and any user-controlled data being used to modify Map objects.
disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への主な対策は、@nyariv/sandboxjsをバージョン0.8.29以降にアップデートすることです。アップデートが困難な場合は、一時的な回避策として、サンドボックス内で実行されるコードの入力を厳密に検証し、信頼できないコードの実行を制限してください。また、WAFやプロキシサーバーを使用して、悪意のあるリクエストをブロックすることも有効です。アップデート後、サンドボックスの動作をテストし、正常に動作することを確認してください。
SandboxJS ライブラリをバージョン 0.8.29 以降にアップデートしてください。このバージョンは、Map のプロトタイプの操作を防ぐことで、サンドボックスエスケープの脆弱性を修正しています。アップデートするには、対応するパッケージマネージャー (npm または yarn など) を使用して、最新バージョンをインストールしてください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-25587は、@nyariv/sandboxjsのSAFE_PROTOYPESにおけるMapプロトタイプのオーバーライド脆弱性であり、サンドボックスからの脱出を許容する可能性があります。
もし、@nyariv/sandboxjsのバージョンが0.8.29より前である場合、影響を受けています。バージョンを確認し、速やかにアップデートしてください。
@nyariv/sandboxjsをバージョン0.8.29以降にアップデートしてください。アップデートが困難な場合は、入力検証を厳密化するなどの回避策を検討してください。
現時点では公開PoCは確認されていませんが、類似の脆弱性の存在から、悪用される可能性はあります。
@nyariv/sandboxjsの公式アドバイザリは、通常、GitHubリポジトリまたはnpmのパッケージページで確認できます。