jamezx32/cve-2026-85046Confusión de tipos de elementos en Array.prototype.sort inlineado de V8 - PoC + addrof (investigación de N-day)
Commit: v8 b74028b5 (árbol vulnerable = commit padre de la corrección e0562d87)
Fix Patch: https://github.com/v8/v8/commit/e0562d87ad9c17042b581582c99237d798572e67
Engine: V8 (árbol vulnerable = commit padre b74028b5 de la corrección e0562d87)
Root Cause: Maglev/TurboFan, al incorporar por inlining Array.prototype.sort, copia de vuelta la instantánea según el "tipo de elemento unión"; fill(0) en el comparator reduce el tipo de vuelta a SMI, y se escriben punteros de objeto en un array de Smi (en explotación desde 2026-09, kit BlueMoon)
Run: ./d8 poc/min.js (sin flags, imprime el desplazamiento del heap, es decir, la ofuscación); addrof_check.js requiere --allow-natives-syntax
poc/addrof.jspoc/addrof_check.jspoc/exp2_stage.jspoc/min.jspoc/regress.js