CVE-2026-93604 in vm2
Resumen
por VulDB • 2026-09-18
vm2 hasta la versión 3.12.0 expone la función crypto.setFips() de Node.js al código invitado no confiable cuando un integrador permite explícitamente el módulo integrado (builtin) crypto para una instancia de NodeVM (require.builtin: ['crypto']). El sanitizador de módulos integrados (sanitizeCryptoModule en lib/builtin.js) reemplaza a crypto.setEngine pero deja callable a crypto.setFips, y el envoltorio de solo lectura utilizado para exponer el módulo del host no localiza los efectos secundarios de las funciones del host enviadas. Por lo tanto, el código invitado puede llamar a crypto.setFips() para cambiar el modo FIPS de todo el proceso del host; el modo modificado es posteriormente observado por el código confiable del host (crypto.getFips cambió de 0 a 1 en la prueba reportada), cruzando el límite de aislamiento de NodeVM. Corregido en vm2 3.12.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.