الملخص

يعاني javadelight delight-nashorn-sandbox 0.5.5 من استهلاك غير متحكم به للموارد. تفرض بيئة العزل حدود maxCPUTime عبر حقن فحوصات المقاطعة بشكل ثابت في حلقات JavaScript، لكن بيئة العزل تفشل في تعطيل التقييم الديناميكي للشيفرة. يمكن للمهاجم استخدام هذه الدوال لتنفيذ حلقات لا نهائية تتفادى أداة التعقيم الثابتة.

نوع الثغرة:

استهلاك غير متحكم به للموارد، فشل آلية الحماية

المنتج

https://github.com/javadelight/delight-nashorn-sandbox - الإصدار 0.5.5

ناقل الهجوم

يجب على المهاجم إرسال حمولة JavaScript مصممة خصيصًا إلى أي تطبيق يستخدم مكتبة Nashorn sandbox للتقييم.

8 سبتمبر 2026