CVE-2026-92936 in vm2
الملخص
بحسب VulDB • 17/09/2026
تسرب الإصدارات من 3.11.0 إلى 3.11.6 من مكتبة vm2 لمسارات ملف النظام المضيف المطلقة (absolute host filesystem paths) إلى الكود المحصور في الصندوق الرملي (sandboxed code) عبر تنسيق مصفوفة الأخطاء (error stack formatting). يمكن للمهاجم الذي يزوّد بالكود أن يجبر محوّل مصدر عالم المضيف على إلقاء استثناء من نوع SyntaxError (على سبيل المثال، عن طريق استدعاء eval بمصدر غير صالح)، ثم قراءة خاصية .stack الخاصة بالخطأ؛ حيث يقوم الجسر بنقل عملية القراءة لخاصية .stack إلى مُنسّق عالم المضيف، متجاوزاًً آلية إخفاء المسارات الخاصة بالمضيف التي تم تقديمها في الصندوق الرملي والمُصمّمة للتعامل مع GHSA-v27g-jcqj-v8rw. تكشف سلسلة الإرجاع (returned stack string) عن مسارات مطلقة من vm2، ومن المكونات الداخلية لـ Node.js، وشجرة المصدر الخاصة بالتطبيق المُضمّن، بالإضافة إلى أسماء الدوال الموجودة على جانب المضيف. تتأثر التكوينات الافتراضية باستخدام new VM() وnew NodeVM() دون الحاجة لأي خيارات خاصة، وتستمر المشكلة حتى عند تعطيل eval السلاسل النصية (string eval) لأن محوّل الجانب الخاص بالمُضيف يُلقي استثناءً قبل معالجة استدعاء eval. يتمثل الأثر في كشف معلومات فقط؛ ولا تؤدي إلى تنفيذ أي كود. تم الإصلاح في الإصدار 3.11.7 من vm2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.