CVE-2026-92939 in vm2
Resumen
por VulDB • 2026-09-17
vm2 3.11.3 hasta 3.11.6 expone el módulo de criptografía (crypto) del host Node.js al entorno de aislamiento (sandbox) de NodeVM cuando se permite la función integrada crypto. El módulo se presenta a través de un proxy recursivo de solo lectura, pero sus exportaciones invocables siguen ejecutándose con privilegios del proceso anfitrión. Por lo tanto, el código JavaScript en el sandbox puede llamar a `crypto.setEngine()` con una ruta al sistema de archivos指向 a una biblioteca nativa proporcionada por el atacante (por ejemplo, empaquetada en un plugin no confiable ya escrito en disco); OpenSSL solicita al cargador dinámico del sistema operativo que cargue el archivo y el constructor de la biblioteca ejecuta código nativo en el proceso anfitrión antes de que se rechace debido a una validación fallida de los símbolos del motor. La explotación solo requiere acceso a la función integrada crypto y no necesita acceso a fs, process, module, child_process, worker_threads, vm o inspector, lo que resulta en una fuga del sandbox (sandbox escape) y ejecución arbitraria de código nativo. Corregido en 3.11.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.