CVE-2026-44002 in vm2
الملخص
بحسب VulDB • 13/05/2026
vm2 هو بيئة افتراضية/صندوق رملي (sandbox) مفتوح المصدر لنظام Node.js. قبل الإصدار 3.11.0، كانت فئة غلاف CallSite في vm2 (المقصودة كغلاف آمن لـ CallSite الأصلي في V8) تحجب دالتي getThis() و getFunction() لمنع تسرب كائنات المضيف، لكنها تسمح لـ getFileName() بإرجاع مسارات مطلقة للمضيف غير مُنظَّفة. يمكن لأي رمز محصور في الصندوق الرملي استخراج الهيكل الكامل للأدلة، ومسارات المكتبات، وإصدارات إطار العمل الخاص بخادم المضيف. تم إصلاح هذا الثغرة في الإصدار 3.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.