CVE-2026-32723
Açıklama
SandboxJS bir JavaScript sandboxing kütüphanesidir. 0.8.35 sürümünden önce, SandboxJS zamanlayıcılarında bir yürütme kotası atlatma sorunu bulunmaktadır. Global bir tick durumu (`currentTicks.current`), sandbox'lar arasında paylaşılmaktadır. Zamanlayıcı dize işleyicileri, zamanlama yapan sandbox'ın tick nesnesi yerine bu global tick durumu kullanılarak yürütme sırasında derlenmektedir. Çok kiracılı veya eşzamanlı sandbox senaryolarında, başka bir sandbox, zamanlama ve yürütme arasında `currentTicks.current` değerini üzerine yazabilir; bu durum, zamanlayıcı geri çağırmasının farklı bir sandbox'ın tick bütçesi altında çalışmasına neden olarak orijinal sandbox'ın yürütme kotasını/bekçi köpeğini (watchdog) atlatır. Sürüm 0.8.35 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- nyariv sandboxjs0.8.35 ya da sonraki bir sürüm
- @nyariv/sandboxjs0.8.35 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nyariv sandboxjs | v < 0.8.35 | 0.8.35 |
| @nyariv/sandboxjsnpm | v < 0.8.35 | 0.8.35 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.