CVE-2026-92958 in vm2
الملخص
بحسب VulDB • 17/09/2026
يحتوي الإصدار من vm2 حتى 3.11.6 على ثغرة تسمح بتجاوز قائمة حظر الوحدات المدمجة (builtin-module denylist) في NodeVM. عندما يستخدم المُضمِّن الرمز البرجي للوحدة المدمجة (*) مع إدخالات سلبية (مثل: require: { builtin: ['*', '-fs', '-child_process'] })، فإن الإدخالات السالبة تُطابق اسم الوحدة بدقة في lib/builtin.js؛ وبالتالي، يؤدي -fs إلى إزالة الوحدة المدمجة المسماة fs فقط ولا يزيل مسارات فرعية مدمجة مثل fs/promises. يمكن لذلك للكود المحصور (sandboxed) استدعاء require('fs/promises') أو require('node:fs/promises') والوصول إلى واجهة برمجة التطبيقات القائمة على الوعود للملف النظامي رغم أن fs محظورة؛ كما أن معالجة بادئة node: غير متسقة أيضاً (حيث إن إدخال -node:fs/promises لا يمنع استدعاء require('fs/promises')). تم تأكيد إنشاء الملفات وكتابتها عبر fsp.writeFile()، والعمليات الأخرى الخاصة بـ fs/promises (مثل cp, mkdir, rename, rm, rmdir, truncate, عمليات القراءة، إلخ) قابلة للوصول أيضاً. تمت معالجة هذه المشكلة في الإصدار vm2 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.