平台
nodejs
组件
@nyariv/sandboxjs
修复版本
0.8.37
0.8.36
CVE-2026-34208是@nyariv/sandboxjs中的一个沙箱绕过漏洞，允许攻击者绕过对全局对象的直接赋值保护。通过暴露的可调用构造函数路径，攻击者可以将任意属性写入宿主全局对象，并在同一进程中的沙箱实例之间持久化这些更改。该漏洞影响版本≤0.8.36。目前尚无官方补丁可用。
CVE-2026-34208 影响 SandboxJS，允许攻击者绕过旨在防止对全局对象进行直接修改的安全保护。该漏洞在于暴露的构造函数路径，该路径允许恶意代码将任意属性写入宿主对象的全局对象。这尤其严重，因为这些修改可能持续存在于同一进程中的不同 Sandbox 实例中，从而损害应用程序的完整性。CVSS 分数为 10.0 表示一个关键漏洞，具有潜在的灾难性影响，尤其是在使用 SandboxJS 隔离不受信任代码的环境中。
攻击者可以通过在利用 SandboxJS 的 Sandbox 中注入恶意代码来利用此漏洞。此代码将利用 this.constructor.call(target, attackerObject) 路径来修改宿主对象的全局对象。同一进程中 Sandbox 实例之间修改的持久性意味着单个成功的攻击可能会损害应用程序的多个区域。易于利用，加上潜在的高影响，使此漏洞成为依赖 SandboxJS 进行代码隔离的应用程序的重要风险。
Applications utilizing @nyariv/sandboxjs for sandboxing JavaScript code are at risk, particularly those deployed in Node.js environments. This includes applications that dynamically execute user-provided code or interact with untrusted data sources. Shared hosting environments where multiple applications share the same Node.js process are especially vulnerable, as a compromise in one application could potentially affect others.
• nodejs / server:
npm list @nyariv/sandboxjs• nodejs / server:
grep -r 'this.constructor.call(target, attackerObject)' ./node_modules/@nyariv/sandboxjs/• nodejs / server:
npm audit @nyariv/sandboxjsdisclosure
漏洞利用状态
EPSS
0.18% (40% 百分位)
CISA SSVC
针对 CVE-2026-34208 的主要缓解措施是将 SandboxJS 更新到 0.8.36 或更高版本。此版本包含修复程序，该修复程序阻止了易受攻击的构造函数路径。同时，作为临时措施，建议限制 Sandbox 中对 Function.prototype.call 的访问，尽管这可能会影响某些应用程序的功能。应执行代码审计以识别对漏洞的任何潜在使用情况，并在必要时应用其他补丁。监控应用程序日志以查找可疑活动也可以帮助检测和响应潜在攻击。
Actualice SandboxJS a la versión 0.8.36 o superior para mitigar la vulnerabilidad de escape de integridad de la sandbox. Esta actualización corrige el problema permitiendo que las asignaciones directas a objetos globales estén bloqueadas correctamente, evitando que el código malicioso escriba propiedades arbitrarias en los objetos globales del host.
漏洞分析和关键警报直接发送到您的邮箱。
SandboxJS 是一个 JavaScript 库，它提供了一个隔离的环境（Sandbox），用于执行不受信任的代码，从而限制其对宿主全局对象和函数的访问。
版本 0.8.36 修复了 CVE-2026-34208 漏洞，该漏洞允许攻击者绕过 SandboxJS 的安全保护。
CVSS 分数 10.0 表示一个关键漏洞，具有最高的严重程度级别。
作为临时措施，您可以限制 Sandbox 中对 Function.prototype.call 的访问，尽管这可能会影响功能。
您可以在其 GitHub 存储库和官方文档中找到有关 SandboxJS 的更多信息。
CVSS 向量