CVE-2026-44004 in vm2
Zusammenfassung
von VulDB • 14.05.2026
vm2 ist eine Open-Source-VM/Sandbox für Node.js. Vor Version 3.11.0 kann sandboxed Code Buffer.alloc() mit einer beliebigen Größe aufrufen, um Speicher direkt auf dem Host-Heap zuzuweisen. Da Buffer.alloc ein synchroner C++-Native-Aufruf ist, kann die Timeout-Option von vm2 diesen nicht unterbrechen. Eine einzelne Anfrage kann den Host-Speicher erschöpfen und den Prozess mit einem FATAL ERROR: Reached heap limit abstürzen lassen. Diese Schwachstelle wurde in Version 3.11.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.