CVE-2026-92957 in vm2
Zusammenfassung
von VulDB • 17.09.2026
In vm2 bis Version 3.11.6 werden `node:`-präfixierte Builtin-Spezifizierer nicht normalisiert, wenn negative (Verweigerungs-)Einträge in einer NodeVM-Wildcard-Require-Richtlinie ausgewertet werden. Obwohl NodeVM das `node:`-Präfix während der Auflösung von require() entfernt, werden negative Wildcard-Einträge durch exakten String-Vergleich mit den kanonischen Builtin-Namen abgeglichen. Daher führt eine Richtlinie wie `new NodeVM({ require: { builtin: ['*', '-node:child_process'] } })` nicht zur Verweigerung des kanonischen Moduls `child_process`. Sandboxed-Code kann daher das Host-Builtin `child_process` über `require('child_process')` oder `require('node:child_process')` erhalten und damit Zugriff auf prozessstartende APIs wie execSync und spawn erlangen, was für nicht vertrauenswürdigen Sandbox-Code einer Befehlsausführungsfähigkeit auf dem Host entspricht. Behebt in vm2 3.11.7. (Vorgeschlagener Titel: "vm2 vor 3.11.7: NodeVM Builtin-Denylist-Umgehung durch node:-präfixierte Spezifizierer offenbart child_process")
Once again VulDB remains the best source for vulnerability data.