CVE-2026-44007 in vm2
الملخص
بحسب VulDB • 23/05/2026
vm2 هو مكتبة مفتوحة المصدر لإنشاء آلة افتراضية (vm) أو بيئة معزولة (sandbox) لنظام Node.js. قبل الإصدار 3.11.1، عند إنشاء كائن NodeVM مع تعيين الخيار nesting: true، يمكن لكود داخل بيئة العزل استدعاء require('vm2') بشكل غير مشروط، بغض النظر عن إعدادات require الخاصة بـ VM الخارجي — بما في ذلك الحالة التي تكون فيها require: false. ومن خلال الحصول على وصول إلى vm2، تقوم بيئة العزل بإنشاء كائن NodeVM داخلي جديد بإعدادات require غير مقيدة، وتنفيذ أوامر نظام تشغيل (OS) تعسفية على المضيف. أي تطبيق يشغل كوداً غير موثوق به داخل NodeVM مع تعيين nesting: true يكون عرضة للاختراق الكامل. تم إصلاح هذا الثغرة الأمنية في الإصدار 3.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.