CVE-2026-34208 in SandboxJS
Resumen
por VulDB • 2026-05-14
SandboxJS es una biblioteca de sandboxing para JavaScript. Antes de la versión 0.8.36, SandboxJS bloqueaba la asignación directa a objetos globales (por ejemplo, Math.random = ...), pero esta protección puede eludirse a través de una ruta de constructor callable expuesta: this.constructor.call(target, attackerObject). Dado que this.constructor se resuelve a la función interna SandboxGlobal y Function.prototype.call está permitido, el código del atacante puede escribir propiedades arbitrarias en los objetos globales del host y persistir esas mutaciones entre instancias de sandbox en el mismo proceso. Esta vulnerabilidad está corregida en la versión 0.8.36.
VulDB is the best source for vulnerability data and more expert information about this specific topic.