PoC do CVE-2026-85046

• Commit: v8 b74028b5 (árvore da vulnerabilidade = commit pai da correção e0562d87)

• Patch de Correção: https://github.com/v8/v8/commit/e0562d87ad9c17042b581582c99237d798572e67

• Engine: V8 (árvore da vulnerabilidade = commit pai b74028b5 da correção e0562d87)

• Causa Raiz: Ao inlinar Array.prototype.sort, o Maglev/TurboFan copia de volta o snapshot com base na "espécie de elementos unificada"; no comparator, fill(0) estreita a espécie de volta para SMI, gravando ponteiros de objeto em um array de Smi (explorado em campo em 2026-09, kit BlueMoon)

• Execução: ./d8 poc/min.js (sem flags, imprime o deslocamento do heap, ou seja, o vazamento); addrof_check.js requer --allow-natives-syntax

Arquivos

• poc/addrof.js
• poc/addrof_check.js
• poc/exp2_stage.js
• poc/min.js
• poc/regress.js