सारांश

javadelight delight-nashorn-sandbox 0.5.5 अनियंत्रित संसाधन उपभोग से ग्रस्त है। सैंडबॉक्स JavaScript लूप्स में स्थिर रूप से रुकावट जाँच इंजेक्ट करके maxCPUTime सीमाओं को लागू करता है, लेकिन सैंडबॉक्स गतिशील कोड मूल्यांकन को अक्षम करने में विफल रहता है। एक हमलावर इन फ़ंक्शनों का उपयोग अनंत लूप निष्पादित करने के लिए कर सकता है जो स्थिर सैनिटाइज़र से बच निकलते हैं।

भेद्यता प्रकार:

अनियंत्रित संसाधन उपभोग, सुरक्षा तंत्र विफलता

उत्पाद

https://github.com/javadelight/delight-nashorn-sandbox - संस्करण 0.5.5

हमला वेक्टर

एक हमलावर को किसी भी एप्लिकेशन में एक तैयार किया गया JavaScript पेलोड सबमिट करना होगा जो मूल्यांकन के लिए Nashorn सैंडबॉक्स लाइब्रेरी का उपयोग करता है।

8 सितंबर 2026