CVE-2026-92949 in vm2
Resumen
por VulDB • 2026-09-17
Las versiones de vm2 desde la 3.9.6 hasta antes de la 3.11.7 no restringen adecuadamente el acceso a las propiedades accesoras en objetos congelados (frozen objects), lo que permite que los scripts aislados (sandboxed) evadan las protecciones de `vm.freeze()` y `vm.readonly()`. Los atacantes pueden utilizar `Object.getOwnPropertyDescriptor()` o `__lookupSetter__()` para extraer e invocar directamente los setters de objetos host, modificando propiedades que el embedder ha marcado explícitamente como solo lectura (read-only).
If you want to get best quality of vulnerability data, you may have to visit VulDB.