JerryScript, un motor de JavaScript ligero pensado para dispositivos con recursos limitados (IoT, wearables, microcontroladores), tiene un desbordamiento de búfer en la función ecma_builtin_typedarray_prototype_filter() de la versión fe3a5c0. La falla (CWE-120) permite a un atacante construir un objeto o un arraybuffer falso de tamaño ilimitado, lo que puede derivar en corrupción de memoria y ejecución de código.
El CVSS es 9.8 (crítico) y GitHub también lo clasifica como crítico en su aviso GHSA-8264-28h8-qcwg. Sin embargo, el EPSS es de solo 1.7% de probabilidad de explotación en los próximos 30 días y Shodan no tiene hosts indexados con este CVE, así que el impacto real hoy depende de si tu producto embebe esta versión de JerryScript.
| CVE | CVE-2021-42863 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 1.7% en 30 días (percentil 76) |
| CWE | CWE-120 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
jerryscript/jerryscript