CVE-2026-23830

SandboxJS JavaScript qumcu (sandboxing) kitabxanasıdır. 0.8.26 versiyasından əvvəlki versiyalarda `AsyncFunction`-ın `SandboxFunction` daxilində izolyasiya edilməməsi səbəbindən qumcu qaçışı (sandbox escape) zəifliyi mövcuddur. Kitabxana qlobal `Function` konstruktorunu təhlükəsiz, qumculaşdırılmış versiya (`SandboxFunction`) ilə əvəz edərək kodun icrasını qumcuya almağa çalışır. Bu proses `utils.ts` faylında, axtarış üçün istifadə olunan xəritədə (map) `Function`-ın `sandboxFunction`-a yönləndirilməsi ilə həyata keçirilir. Lakin 0.8.26 versiyasından əvvəl kitabxanada `AsyncFunction`, `GeneratorFunction` və `AsyncGeneratorFunction` üçün yönləndirmələr nəzərdə tutulmamışdı. Bu konstruktorlar qlobal xüsusiyyətlər deyil, lakin bir instansiyanın `.constructor` xüsusiyyəti vasitəsilə (məsələn, `(async () => {}).constructor`) onlara daxil olmaq mümkündür. Xüsusiyyətə giriş `executor.ts` faylında idarə olunur. Qumcu daxilində işləyən kod asinxron funksiyada (qumcu bunu yaratmağa icazə verir) `.constructor`-a müraciət etdikdə, `executor` xüsusiyyətin dəyərini götürür. `AsyncFunction` təhlükəsiz əvəzləmə xəritəsində olmadığı üçün `executor` real yerli host `AsyncFunction` konstruktorunu qaytarır. JavaScript-də funksiya konstruktorları (məsələn, `Function`, `AsyncFunction`) qlobal sahədə icra olunan funksiyalar yaradır. Host `AsyncFunction` konstruktorunu əldə etməklə hücumçu bütün məhdudiyyətləri yan keçərək və host mühitinə tam giriş əldə edərək (Uzaqdan Kodun İcrası - RCE) tamamilə qumcu kontekstindən kənarda icra olunan yeni asinxron funksiya yarada bilər. 0.8.26 versiyası bu zəifliyi aradan qaldırır.