exploit-js2py

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-RELEASEOWN-EXPLOIT-JS2PY
# CVE-2024-28397 - js2py सैंडबॉक्स एस्केप

## विवरण

**CVE-2024-28397** कमजोरी **js2py** के `v0.74` तक के संस्करणों को प्रभावित करती है, यह एक पायथन लाइब्रेरी है जो जावास्क्रिप्ट कोड को पायथन इंटरप्रेटर के अंदर निष्पादित करने की अनुमति देती है।

यह दोष `disable_pyimport()` विधि के कार्यान्वयन में है, जिसे जावास्क्रिप्ट कोड को पायथन ऑब्जेक्ट्स तक पहुँचने से रोकना चाहिए। लेकिन कार्यान्वयन में विफलता के कारण, एक हमलावर इस प्रतिबंध को दरकिनार कर सकता है और जावास्क्रिप्ट वातावरण में पायथन ऑब्जेक्ट्स के संदर्भ प्राप्त कर सकता है, जिससे होस्ट पर मनमाना कोड निष्पादन संभव हो जाता है।

### तकनीकी विवरण

  * **प्रभावित घटक:** `js2py.disable_pyimport()`
  * **प्रभावित संस्करण:** `v0.74` तक
  * **CVE ID:** CVE-2024-28397
  * **CVSS v3.1:** 5.3 (मध्यम)
  * **CWE:** 94 (कोड जनरेशन का अनुचित नियंत्रण)



यह कमजोरी इसलिए होती है क्योंकि `disable_pyimport()` विधि जावास्क्रिप्ट कोड से पायथन ऑब्जेक्ट्स तक पहुँच को ठीक से नहीं रोकती। इससे एक हमलावर, सुरक्षा सक्षम होने पर भी, पायथन ऑब्जेक्ट्स तक पहुँच सकता है और सिस्टम पर मनमाने आदेश निष्पादित कर सकता है।