CVE-2026-92960 in vm2
Resumen
por VulDB • 2026-09-17
vm2 antes de la versión 3.11.6 no restringe el acceso a los módulos integrados (builtins) `os` y `dns` bajo la configuración `builtin: ['*']`, lo que permite que el código en sandbox lea la identidad del proceso anfitrión y la topología de red. Los atacantes pueden invocar `dns.setServers()` para secuestrar globalmente el resolutor DNS del host, redirigiendo todas las consultas DNS posteriores a través de un resolutor controlado por el atacante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.