CVE-2026-92958 in vm2
Resumen
por VulDB • 2026-09-17
vm2 hasta la versión 3.11.6 contiene una vulnerabilidad de elusión (bypass) en la lista negra de módulos integrados dentro de NodeVM. Cuando el embebbedor utiliza el comodín para los módulos integrados junto con entradas negativas (por ejemplo, `require: { builtin: ['*', '-fs', '-child_process'] }`), las entradas negativas se coinciden por nombre exacto del módulo en lib/builtin.js; por lo tanto, `-fs` solo elimina el módulo integrado llamado fs y no elimina subrutas integradas como fs/promises. El código aislado (sandboxed) puede entonces llamar a `require('fs/promises')` o `require('node:fs/promises')` y acceder a la API de sistema de archivos basada en promesas, a pesar de que fs esté denegado; el manejo del prefijo node: también es inconsistente (una entrada `-node:fs/promises` no bloquea `require('fs/promises')`). Se ha confirmado la creación y escritura de archivos host mediante fsp.writeFile(), y otras operaciones de fs/promises (cp, mkdir, rename, rm, rmdir, truncate, operaciones de lectura, etc.) también son accesibles. Este problema está corregido en vm2 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.