CVE-2026-43898
CVE-2026-43898 · SandboxJS: Sandbox escape via Function.caller leakage of internal call op
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
SandboxJS is a JavaScript sandboxing library. Prior to 0.9.6, sandbox-defined functions expose Function.caller, allowing sandboxed code to recover the internal LispType.Call runtime callback. That callback can then be invoked with attacker-controlled fake context and obj values to extract blocked host statics, recover the real host Function constructor, and execute arbitrary host JavaScript. This vulnerability is fixed in 0.9.6.
CVSS 10.0 · Crítica · EPSS 0,5% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
sandboxjs
- Versiones
- < 0.9.6: Afectada
Sin corrección publicada
@nyariv/sandboxjs npm
- Intervalos de versiones afectados
- SEMVER: < 0.9.6
Actualiza a 0.9.6