CVE-2026-55107
kobako Sandbox Escape: guest eval reaches host RCE via method_missing → public_send (any bound Service)
A guest mruby script running inside the Kobako sandbox can execute arbitrary Ruby in the host process, fully escaping the sandbox.
Tradução automática pendente; exibindo o original em inglês.
- elct9620 kobako
- Crítica
- CVSS 10.0
- EPSS 0,8%
- Versão corrigida informada
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| elct9620 kobako | >= 0.1.0, < 0.9.1 | Nenhuma informada |
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| kobako (RubyGems) | >= 0.1.0, <= 0.9.0 | 0.9.1 | GHSA-7pwq-q9jf-539h |
Alertas e correções
- Exploit público github.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1, pontuado por GitHub)
- EPSS
- 0,8% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 26 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: prova de conceito. Automatizável: sim. Impacto técnico: total. Em 30 de set. de 2026.
- Fraqueza
- CWE-94: Improper Control of Generation of Code ('Code Injection'); CWE-470: Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')
- Fabricante
- elct9620, kobako
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.
- O GitHub publicou o alerta GHSA-7pwq-q9jf-539h (crítica). Corrigido em 0.9.1.