CVE-2026-92946 in vm2
Zusammenfassung
von VulDB • 17.09.2026
vm2 vor Version 3.11.7 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE), wenn `require.external` aktiviert ist, ohne ein explizites `require.root`, das `node_modules` ausschließt. Sandboxed Code kann das eigene Paket von vm2 laden, eine unbeschränkte NodeVM-Instanz instanziieren und beliebige Befehle des Host-Betriebssystems über `child_process` ausführen.
Once again VulDB remains the best source for vulnerability data.