CWE-913

Biblioteka vm2 (sandbox dla Node.js) w wersjach przed 3.11.4 zawiera podatność umożliwiającą ucieczkę z izolowanego środowiska i wykonanie dowolnego kodu na hoście. Otrzymała maksymalną ocenę CVSS 10.0, co czyni ją podatnością krytyczną wymagającą natychmiastowej reakcji.

Biblioteka vm2 (sandbox dla Node.js) w wersjach przed 3.11.4 zawiera wadliwie zaimplementowaną poprawkę bezpieczeństwa, która może zostać ominięta przez pominięcie opcji 'require' w konfiguracji. Umożliwia to ucieczkę z sandboxu i wykonanie dowolnego kodu poza izolowanym środowiskiem, co jest szczególnie groźne dla aplikacji używających vm2 do uruchamiania niezaufanego kodu.

Biblioteka vm2 (sandbox dla Node.js) w wersjach przed 3.11.4 zawiera krytyczną podatność umożliwiającą ucieczkę z izolowanego środowiska wykonawczego. Atakujący może wykonać dowolne polecenia bezpośrednio na systemie hosta, co czyni tę lukę ekstremalnie niebezpieczną w środowiskach uruchamiających niezaufany kod.

Biblioteka SandboxJS w wersjach przed 0.8.26 zawiera podatność umożliwiającą ucieczkę z piaskownicy (sandbox escape) i wykonanie dowolnego kodu (RCE) na hoście. Luka wynika z braku izolacji konstruktorów `AsyncFunction`, `GeneratorFunction` i `AsyncGeneratorFunction`, co pozwala atakującemu uzyskać pełny dostęp do środowiska hosta.

Biblioteka vm2, służąca do izolowanego uruchamiania niezaufanego kodu Node.js, nieprawidłowo obsługiwała obiekty hosta przekazywane do `Error.prepareStackTrace` przy nieobsłużonych błędach asynchronicznych. Podatność umożliwia całkowite ominięcie mechanizmów sandbox i uzyskanie możliwości RCE na serwerze hosta.

Biblioteka vm2 w wersjach przed 3.9.11 posiada krytyczną podatność pozwalającą atakującemu na ominięcie mechanizmów izolacji sandboxa i uzyskanie pełnego zdalnego wykonania kodu na hoście. Podatność uzyskała maksymalny wynik CVSS 10.0, co oznacza brak wymagań co do uwierzytelnienia czy interakcji użytkownika.

Podatność w węźle Workflow Script Node platformy NocoBase umożliwia uwierzytelnionemu atakującemu ucieczkę z piaskownicy Node.js VM i wykonanie dowolnego kodu z uprawnieniami roota. Ze względu na krytyczny wynik CVSS 9.9 oraz możliwość przejęcia pełnej kontroli nad serwerem, zagrożenie jest bardzo poważne.

Platforma automatyzacji n8n w wersjach od 0.211.0 do 1.120.3 zawiera krytyczną podatność RCE w systemie ewaluacji wyrażeń workflow. Uwierzytelniony atakujący może wykonać dowolny kod z uprawnieniami procesu n8n, co prowadzi do pełnego przejęcia instancji.

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, lib/bridge.js and lib/setup-sandbox.js fail to block stacked indirection through Function.prototype.call around dangerous host prototype getter and setter mutators, allowing sandbox code to sever a host intrinsic's prototype chain and reach e.constructor.constructor for arbitrary host command execution. This issue is fixed in version 3.11.6.

Podatność w bibliotece Crawl4AI (wersje przed 0.8.7) umożliwia atakującemu zdalne wykonanie dowolnego kodu (RCE) bez uwierzytelnienia. Wynika z niekompletnej walidacji wyrażeń AST w funkcji _safe_eval_expression(), co pozwala na ucieczkę z sandboxa.

Podatność w bibliotece vm2 (Node.js) pozwala na ucieczkę z sandboxa i wykonanie dowolnego kodu w procesie hosta, gdy uruchamiany jest niezaufany kod z obsługą async na środowiskach udostępniających WebAssembly JSPI. Luka otrzymała krytyczny wynik CVSS 9.8, co czyni ją ekstremalnie niebezpieczną dla aplikacji korzystających z vm2 do izolacji niezaufanego kodu.

Podatność w bibliotece vm2 (sandbox dla Node.js) w wersjach przed 3.10.2 pozwala atakującemu na ucieczkę z izolowanego środowiska wykonawczego i uruchomienie dowolnego kodu. Ze względu na brak uwierzytelnienia i sieciowy wektor ataku podatność jest oceniana jako krytyczna (CVSS 9.8).

Podatność w oprogramowaniu układowym urządzeń Phoenix Contact CHARX SEC-3000/3050/3100/3150 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu z uprawnieniami root. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia oraz pełnego przejęcia kontroli nad urządzeniem.

W wersji 0.4.3 platformy Composio endpoint mathematical_calculator przetwarza dane wejściowe za pomocą niebezpiecznej funkcji eval(), co umożliwia zdalne wykonanie dowolnego kodu. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Biblioteka lightning-ai/pytorch-lightning w wersji 2.2.1 jest podatna na zdalne wykonanie kodu (RCE) z powodu nieprawidłowej obsługi deserializowanych danych wejściowych. Atakujący bez żadnego uwierzytelnienia może przejąć pełną kontrolę nad aplikacją hostowaną samodzielnie.

CrushFTP w wersjach wcześniejszych niż 10.5.1 zawiera krytyczną podatność polegającą na nieprawidłowej kontroli modyfikacji dynamicznie wyznaczanych atrybutów obiektów (CWE-913). Błąd umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu lub przejęcie kontroli nad systemem.

Krytyczna podatność w module parsowania plików aktualizacji firmware w Silicon Labs Gecko Bootloader na architekturze ARM umożliwia przepełnienie bufora i zapis poza jego granicami. Atakujący może wstrzyknąć złośliwy kod i ominąć mechanizmy uwierzytelniania bez żadnych uprawnień.

W bibliotece vm2 (wersje do 3.9.15) istnieje podatność w logice sanityzacji wyjątków transformatora kodu źródłowego, pozwalająca na ucieczkę z piaskownicy. Atakujący może uzyskać prawa do wykonania dowolnego kodu w kontekście hosta — bez żadnego uwierzytelnienia.

W aplikacji BACKCLICK Professional 5.9.63 odkryto podatność umożliwiającą zdalne wykonanie dowolnych poleceń systemowych na serwerze. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani żadnej interakcji ze strony użytkownika.

Podatność w smartfonach Huawei (systemy EMUI i Magic UI) pozwala na zdalne wykonanie poleceń bez uwierzytelnienia. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie dla urządzeń mobilnych.