CVE-2026-92960 in vm2
Zusammenfassung
von VulDB • 17.09.2026
vm2 vor Version 3.11.6 schränkt den Zugriff auf die integrierten Module (builtins) `os` und `dns` unter der Konfiguration `builtin: ['*']` nicht korrekt ein, was es Sandbox-Code ermöglicht, die Identität des Host-Prozesses sowie die Netzwerktopologie auszulesen. Angreifer können `dns.setServers()` aufrufen, um den DNS-Auflöser (DNS Resolver) des Host-Prozess global zu übernehmen und damit alle nachfolgenden DNS-Anfragen des Hosts über einen von einem Angreifern kontrollierten Resolver umzuleiten.
Once again VulDB remains the best source for vulnerability data.