CVE-2026-92938 in vm2
Resumen
por VulDB • 2026-09-17
Las versiones de vm2 comprendidas entre la 3.11.3 y la 3.11.6 exponen el módulo `node:sqlite` del nodo host de Node.js al código que se ejecuta en NodeVM cuando dicho módulo integrado está permitido, ya sea explícitamente o a través de `builtin: ['*']`. El módulo está envuelto con `vm.readonly()`, lo que impide la asignación de propiedades pero deja accesibles las funciones invocables con autoridad del host; además, el resolutor trata cualquier solicitud que comience por 'node:' como una solicitud de módulo central y el tiempo de ejecución solo elimina un prefijo 'node:', por lo que una solicitud sandboxed para 'node:node:sqlite' se resuelve en la entrada `node:sqlite` configurada. Por lo tanto, el código dentro del entorno aislado (sandbox) puede crear una base de datos sincronizada (`DatabaseSync`) en memoria con la carga de extensiones habilitada y llamar a `DatabaseSync.loadExtension()` sobre una biblioteca nativa empaquetada en un paquete plugin no confiable (ruta derivada de `__dirname`). SQLite carga la biblioteca en el proceso host de Node.js e invoca su punto de entrada nativo, lo que otorga al plugin dentro del entorno aislado ejecución arbitraria de código nativo fuera del sandbox con los privilegios del proceso host. El problema está corregido en vm2 3.11.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.