CVE-2026-23830

SandboxJS bir JavaScript sandboxing kütüphanesidir. 0.8.26 öncesindeki sürümler, `AsyncFunction`'ın `SandboxFunction` içinde izole edilmemesi nedeniyle bir sandbox kaçış zafiyetine sahiptir. Kütüphane, küresel `Function` oluşturucusunu güvenli ve sandbox uygulanmış bir sürümle (`SandboxFunction`) değiştirerek kod yürütmeyi sandbox içine almaya çalışır. Bu işlem, `utils.ts` dosyasında `Function`'ın aramalar için kullanılan bir eşleme (map) içerisinde `sandboxFunction` ile eşleştirilmesiyle yönetilir. Ancak, 0.8.26 sürümünden önce kütüphane; `AsyncFunction`, `GeneratorFunction` ve `AsyncGeneratorFunction` için eşlemeler içermiyordu. Bu oluşturucular küresel özellikler değildir ancak bir örneğin `.constructor` özelliği üzerinden erişilebilirler (örneğin, `(async () => {}).constructor`). Özellik erişimi `executor.ts` dosyasında yönetilmektedir. Sandbox içinde çalışan kod, asenkron bir fonksiyon üzerinde (sandbox'ın oluşturulmasına izin verdiği) `.constructor` özelliğine eriştiğinde, `executor` özellik değerini getirir. `AsyncFunction` güvenli değişim eşlemesinde yer almadığı için `executor`, gerçek yerel ana bilgisayar (host) `AsyncFunction` oluşturucusunu döndürür. JavaScript'teki fonksiyon oluşturucuları (`Function`, `AsyncFunction` gibi), küresel kapsamda yürütülen fonksiyonlar oluşturur. Bir saldırgan, ana bilgisayarın `AsyncFunction` oluşturucusunu elde ederek tüm kısıtlamaları atlayan ve ana bilgisayar ortamına tam erişim sağlayan (Uzaktan Kod Çalıştırma), tamamen sandbox bağlamının dışında yürütülen yeni bir asenkron fonksiyon oluşturabilir. 0.8.26 sürümü bu zafiyeti gidermektedir.