CVE-2026-85046 PoC

• Коммит: v8 b74028b5 (дерево уязвимости = родительский коммит исправления e0562d87)

• Патч исправления: https://github.com/v8/v8/commit/e0562d87ad9c17042b581582c99237d798572e67

• Движок: V8 (дерево уязвимости = родительский коммит b74028b5 исправления e0562d87)

• Первопричина: при инлайнинге Array.prototype.sort в Maglev/TurboFan снимок копируется обратно по «объединённому виду элементов»; вызов fill(0) в компараторе сужает вид обратно до SMI, и указатель на объект записывается в массив Smi (эксплуатируется в дикой природе с 2026-09, набор BlueMoon)

• Запуск: ./d8 poc/min.js (без флагов, печатает смещение в куче, т.е. обфускацию); для addrof_check.js требуется --allow-natives-syntax

Файлы

• poc/addrof.js
• poc/addrof_check.js
• poc/exp2_stage.js
• poc/min.js
• poc/regress.js