CVE-2026-92952 in vm2
الملخص
بحسب VulDB • 17/09/2026
تحتوي إصدارات vm2 من 3.11.4 إلى 3.11.6 على ثغرة غير مكتملة في تصفية الرموز الداخلية المسجلة لـ Node.js عبر حدود الصندوق الرمزي (sandbox). تستخدم عوامل التصفية الموجودة في lib/setup-sandbox.js، وفحوصات الرموز العابرة للمجال (cross-realm symbol checks)، ومكابس الكتابة (write traps) في lib/bridge.js قائمة ثابتة من الرموز الخطيرة المسجلة المعروفة التي تستثني nodejs.stream.disturbed وnodejs.stream.errored، وهي رموز تُعرَّض على نماذج WebStream الخاصة بالمضيف في إصدارات Node.js الأحدث (تم التحقق منها مع Node.js v25.8.0). عندما يعرض المُضمِّن كائن WebStream خاصًا بالمحرك ومودول التدفق الخاص بالمضيف إلى الصندوق الرمزي، يمكن لكود الصندوق الحصول على رموز المضيف الحقيقية عبر Object.getOwnPropertySymbols(streamWeb.ReadableStream.prototype) واستخدامها كمفاتيح كتابة على كائنات تدفق المضيف، مما يؤدي إلى فساد حالة التدفق المرئية للمضيف — مثل جعل stream.Readable.isDisturbed() تُرجع false لتدفق تم استهلاكه بالفعل. يمكن أن يتجاوز هذا المنطق الخاص بالمضيف الذي يعتمد على مساعدي حالة التدفق العامة لـ Node.js لفرض استهلاك الجسم لمرة واحدة، أو رفض التدفقات المعطوبة (errored streams)، أو تحديد ما إذا كان التدفق آمنًا للتسليم إلى مكون آخر. لا يُعدّ هذا primitive لتنفيذ الكود في المضيف ضمن دليل الثغرة المُبلغ عنه. هذه تصحيح غير مكمل لمشكلة تصفية رموز nodejs.* السابقة. تم الإصلاح في vm2 الإصدار 3.11.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.