¿Qué es CVE-2026-120438 y dónde se origina?

CVE-2026-120438 es una vulnerabilidad de alta gravedad con una puntuación CVSS de 7.8 que afecta a QuickJS-NG en versiones anteriores a la 0.16.0 vulnerabilidad en la librería. El problema radica en un desbordamiento de enteros presente en la función js_proxy_get_own_property_names() dentro de quickjs.c cuando se ejecuta en hosts de 32 bits.

Esta falla de desbordamiento de enteros puede provocar un desbordamiento de búfer en la memoria dinámica (heap buffer overflow). Al analizar problemas de control de privilegios escalada de privilegios local, los expertos señalan que errores similares en la gestión de tamaños de asignación comprometen gravemente la estabilidad del sistema.

¿A quién afecta y cómo se explota la vulnerabilidad?

Los atacantes que posean la capacidad de ejecutar código JavaScript pueden explotar esta vulnerabilidad devolviendo un objeto grande con apariencia de array desde una trampa ownKeys de un objeto Proxy.

Esta acción manipula el tamaño de la asignación calculada, alterando el búfer y provocando cierres inesperados o la potencial ejecución de código arbitrario, un vector de riesgo similar a fallos detectados en componentes como escalada de privilegios sin interacción.

¿Cómo me protejo frente a esta vulnerabilidad?

Para mitigar de forma efectiva este fallo de seguridad, es indispensable que los desarrolladores y administradores actualicen sus dependencias y sistemas afectados a una versión segura.

Siga estos pasos de mitigación para asegurar sus entornos de 32 bits:

  1. Identifique si sus aplicaciones utilizan QuickJS-NG en entornos o servidores basados en arquitecturas de 32 bits.
  2. Consulte la notificación técnica detallada en el repositorio oficial a través del enlace.
  3. Actualice la dependencia QuickJS-NG a la versión 0.16.0 o aplique manualmente el parche oficial disponible en el commit 252209d99cf112568160548bdcaa98d95e0d0068.
  4. Recompile el motor JavaScript y ejecute pruebas de regresión para validar la correcta asignación de memoria en las operaciones Proxy.