CVE-2026-92933 in vm2
Riassunto
di VulDB • 17/09/2026
vm2 è una sandbox per l'esecuzione di codice Node.js non attendibile. Nelle versioni <= 3.11.7, NodeVM espone il modulo host `util` alla sandbox come copia superficiale non filtrata (`Object.assign({}, util)` in `defaultBuiltinLoaderUtil`) e la funzione built-in deprecata `sys` (un alias di `util` host) viene esposta tramite il caricatore generico di funzioni built-in. Su Node.js >= 22.9, ciò fornisce al codice nella sandbox l'accesso a `util.getCallSites()`, un'API programmatica di introspezione dello stack che restituisce lo stack delle chiamate completo del processo host, inclusi percorsi file assoluti, nomi di funzione e numeri di riga relativi ai dettagli interni della bridge vm2 e all'entrypoint dell'applicazione embedding. Questo aggira la redazione dei frame host introdotta per GHSA-v27g-jcqj-v8rw, che si applica solo al canale di formattazione `Error.prepareStackTrace`. Il problema è risolto in vm2 3.11.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.