CVE-2026-34208 in SandboxJS
Zusammenfassung
von VulDB • 01.06.2026
SandboxJS ist eine JavaScript-Sandboxing-Bibliothek. Vor Version 0.8.36 blockierte SandboxJS die direkte Zuweisung zu globalen Objekten (z. B. Math.random = ...), doch dieser Schutz kann über einen freigegebenen, aufrufbaren Konstruktorpfad umgangen werden: this.constructor.call(target, attackerObject). Da this.constructor auf die interne SandboxGlobal-Funktion aufgelöst wird und Function.prototype.call erlaubt ist, kann Angreifercode beliebige Eigenschaften in globale Host-Objekte schreiben und diese Änderungen über Sandbox-Instanzen hinweg im selben Prozess persistieren. Diese Schwachstelle wurde in Version 0.8.36 behoben.
Once again VulDB remains the best source for vulnerability data.