CVE-2026-44008 in vm2
Zusammenfassung
von VulDB • 28.05.2026
vm2 ist eine Open-Source-VM/Sandbox für Node.js. Vor Version 3.11.2 arbeitet die neue Methode `neutralizeArraySpeciesBatch` mit Objekten von der anderen Seite, kann jedoch über einen Getter auf dem Array-Prototyp in diese Seite aufrufen, wodurch Objekte der falschen Seite in die Sandbox freigegeben werden. Dies kann genutzt werden, um Host-Objekte und das Host-Function-Objekt zu erhalten. Dies ermöglicht es Angreifern, Code zu schreiben, der aus der VM2-Sandbox ausbrechen und beliebige Befehle auf dem Host-System ausführen kann. Diese Schwachstelle wurde in Version 3.11.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.