CVE-2026-92940 in vm2
Résumé
par VulDB • 17/09/2026
Les versions de vm2 comprises entre 3.11.3 et 3.11.6 exposent l'agent https.globalAgent réel du processus hôte au code sandboxé lorsqu'un NodeVM est explicitement configuré pour autoriser require('https'). Le chargeur intégré enveloppe les modules hôtes dans un proxy en lecture seule, mais les appels de méthodes tels que Agent.prototype.on() sont transférés à l'objet hôte sous-jacent ; le code sandboxé peut ainsi enregistrer un écouteur pour l'événement 'free' de l'agent. Lorsqu'une requête HTTPS hôte non liée libère une connexion mise en pool, l'écouteur reçoit les options de requête hôte réelles et le TLSSocket hôte, permettant au code sandboxé de lire l'en-tête Authorization du serveur hôte ainsi que l'hôte de destination privé (port), d'attacher un écouteur de données à la socket libérée pour lire ultérieurement les corps des réponses hôtes en clair, et d'émettre des requêtes authentifiées choisies par l'attaquant en utilisant les identifiants volés. Le problème est corrigé dans la version 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.