Vulnerabilidad en SandboxJS de Nyariv (CVE-2026-25520)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)

Fecha de publicación:

06/02/2026

Última modificación:

18/02/2026

Descripción

SandboxJS es una librería de sandboxing de JavaScript. Antes de 0.8.29, los valores de retorno de las funciones no están encapsulados. Object.values/Object.entries pueden usarse para obtener un Array que contiene el constructor Function del host; al usar Array.prototype.at se puede obtener el constructor Function del host, el cual puede usarse para ejecutar código arbitrario fuera del sandbox. Esta vulnerabilidad está corregida en 0.8.29.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 10.00 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto