CVE-2026-115889
CVSS 9.9 CRITICAL: wasmtime is a runtime for WebAssembly. EPSS 0.5% (39º percentile).
Vulnerabilità · 5 ore fa
Wasmtime ha corretto due falle critiche in Cranelift che possono consentire a moduli WebAssembly controllati da un attaccante di uscire dal sandbox: una riguarda tutte le architetture, l’altra solo ARM64. I manutentori non hanno segnalato attacchi. Il rischio riguarda anche software che incorpora Wasmtime, non soltanto le installazioni autonome.
Cranelift traduce i moduli in codice macchina; le falle permettono a un modulo preparato ad hoc di superare i controlli che dovrebbero confinarne l’esecuzione. Il codice può così oltrepassare il sandbox e raggiungere l’ambiente host, anche se gli advisory non precisano quali risorse diventerebbero accessibili.
Le correzioni sono nelle versioni 36.0.19, 48.0.7 e 49.0.4; la 50.0.0 corregge entrambe le falle. Le build ARM64 36.0.7, 42.0.2 e 43.0.1, già corrette per una precedente fuga dal sandbox, restano esposte alla seconda. Nei servizi che eseguono WebAssembly fornito da clienti o terzi, Wasmtime può essere nascosto in una dipendenza incorporata e sfuggire all’inventario delle installazioni autonome.
CVSS 9.9 CRITICAL: wasmtime is a runtime for WebAssembly. EPSS 0.5% (39º percentile).
CVSS 9.9 CRITICAL: wasmtime is a runtime for WebAssembly. EPSS 0.4% (37º percentile).
1 fonte che coprono questa storia
Two Critical Wasmtime Flaws Could Let Malicious WebAssembly Modules Escape Sandboxes
Wasmtime fixes two critical Cranelift flaws that could let attacker-controlled WebAssembly modules escape sandboxes, including an ARM64-only bug.
Part of the PlainSec briefing for 2026-10-26