p PatchFirst

CVE-2026-32304

CVE-2026-32304 · Locutus: RCE via unsanitized input in create_function()

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to 3.0.14, the create_function(args, code) function passes both parameters directly to the Function constructor without any sanitization, allowing arbitrary code execution. This is distinct from CVE-2026-29091 which was call_user_func_array using eval() in v2.x. This finding affects create_function using new Function() in v3.x. This vulnerability is fixed in 3.0.14.

CVSS 9.8 · Критический · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • locutus

    Версии
    • < 3.0.14: Затронуто

    Нет опубликованного исправления

  • locutus npm

    Затронутые диапазоны версий
    • SEMVER: < 3.0.14

    Обновитесь до 3.0.14

Первоисточники

Проверьте свой сервер →