CVE-2026-34208 in SandboxJS
要約
〜によって VulDB • 2026年05月22日
SandboxJSはJavaScriptのサンドボックス化ライブラリです。バージョン0.8.36より前では、SandboxJSはグローバルオブジェクトへの直接代入（例：Math.random = ...）をブロックしていましたが、この保護機能は露出された呼び出し可能なコンストラクタパス（this.constructor.call(target, attackerObject)）を通じて回避可能です。this.constructorは内部のSandboxGlobal関数に解決され、Function.prototype.callが許可されているため、攻撃者コードはホストのグローバルオブジェクトに任意のプロパティを書き込み、同じプロセス内のサンドボックスインスタンス間でその変更を永続化できます。この脆弱性は0.8.36で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.