p PatchFirst

CVE-2026-29091

CVE-2026-29091 · Locutus: Remote Code Execution (RCE) in locutus call_user_func_array due to Code Injection

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to version 3.0.0, a remote code execution (RCE) flaw was discovered in the locutus project, specifically within the call_user_func_array function implementation. The vulnerability allows an attacker to inject arbitrary JavaScript code into the application's runtime environment. This issue stems from an insecure implementation of the call_user_func_array function (and its wrapper call_user_func), which fails to properly validate all components of a callback array before passing them to eval(). This issue has been patched in version 3.0.0.

CVSS 8.1 · Высокий · EPSS 0,9% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • locutus

    Версии
    • < 3.0.0: Затронуто

    Нет опубликованного исправления

  • locutus npm

    Затронутые диапазоны версий
    • SEMVER: < 3.0.0

    Обновитесь до 3.0.0

Первоисточники

Проверьте свой сервер →