Babel (@babel/traverse) – Arbitrary Code Execution bei der Kompilierung

Beschreibung

In @babel/traverse vor den Versionen 7.23.2 und 8.0.0-alpha.4 sowie in allen Versionen von babel-traverse kann speziell von einem Angreifer präparierter Code bei der Kompilierung zu beliebiger Codeausführung führen, wenn Plugins genutzt werden, die auf die internen Methoden path.evaluate() oder path.evaluateTruthy() setzen. Betroffen sind unter anderem @babel/plugin-transform-runtime sowie @babel/preset-env mit der Option useBuiltIns. Wer ausschliesslich vertrauenswürdigen Code kompiliert, ist nicht betroffen. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung auf @babel/traverse 7.23.2 bzw. 8.0.0-alpha.4 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Debian (DSA)

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061
• VMware Aria Operations / VMware Tools – Rechteausweitung durch unsichere Aktionen KEV CVE-2025-41244
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463