CVE-2026-92945 in vm2
Résumé
par VulDB • 17/09/2026
vm2 avant la version 3.11.7 présente une vulnérabilité de contournement de l'allowlist (liste blanche) des modules dans `isPathAllowedForModule`, qui utilise une correspondance par préfixe de chaîne brute au lieu d'une comparaison ancrée aux limites. Les attaquants peuvent accéder à des packages non inclus dans la allowlist partageant un préfixe avec les modules autorisés en effectuant des requêtes relatives (`requires`) depuis des packages autorisés lorsque le chargement transitif est désactivé.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.