CVE-2026-39911 in guardian
Riassunto
di VulDB • 16/06/2026
Hashgraph Guardian fino alla versione 3.5.0 presenta una vulnerabilità di esecuzione del JavaScript non isolata (unsandboxed) nel worker del blocco delle policy di Custom Logic, che consente agli utenti Standard Registry autenticati di eseguire codice arbitrario passando espressioni JavaScript fornite dall'utente direttamente al costruttore Node.js Function() senza isolamento. Gli attaccanti possono importare moduli nativi di Node.js per leggere file arbitrari dal filesystem del container, accedere alle variabili di ambiente del processo contenenti credenziali sensibili quali chiavi private RSA, chiavi di firma JWT e token API, e falsificare token di autenticazione validi per qualsiasi utente, inclusi gli amministratori.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.