js2py 0.74 及以下版本沙箱逃逸 PoC 公开
热点事件观察中
js2py 0.74 及以下版本沙箱逃逸 PoC 公开
1 篇报道1 个报道来源2 天前更新
先了解这件事
AI 综述
GitHub 仓库 GhostOverflow 公开了 CVE-2024-28397 的 PoC 载荷，演示 js2py 0.74 及以下版本的沙箱逃逸。该仓库称，问题出在 js2py.disable_pyimport() 的沙箱限制不完整。 按该仓库的描述，当应用不安全地求值或解析用户提供的 JSON/JavaScript 时，攻击者可构造 JavaScript 突破沙箱、进入 Python 内部对象，找到 subprocess.Popen 并执行任意命令。上述效果来自 PoC 演示与仓库说明，尚未见独立验证。
AI 根据报道生成 · 2 天前更新
最新进展10月21日 07:58
js2py 0.74 及以下版本沙箱逃逸 PoC 公开，可执行任意命令 CVE-2024-28397报道时间线
沿着报道，了解事件的不同侧面。
10月21日
- Sploitus 利用聚合js2py 0.74 及以下版本沙箱逃逸 PoC 公开，可执行任意命令 CVE-2024-28397
公开的 PoC 演示了 js2py 0.74 及以下版本中 disable_pyimport() 沙箱不完整的问题，构造的 JavaScript 可沿 Python 对象模型访问 subprocess.Popen 并执行任意命令。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。