CVE-2026-92938 in vm2
Riassunto
di VulDB • 17/09/2026
Le versioni di vm2 dalla 3.11.3 alla 3.11.6 espongono il modulo node:sqlite dell'host Node.js al codice eseguito all'interno di NodeVM quando tale builtin è consentito, esplicitamente o tramite `builtin: ['*']`. Il modulo viene avvolto con `vm.readonly()`, che impedisce l'assegnazione delle proprietà ma lascia raggiungibili le callable ad autorità host; inoltre, il resolver tratta qualsiasi richiesta che inizia con 'node:' come una richiesta di core-module e il runtime rimuove solo un prefisso 'node:', quindi una sandbox request per 'node:node:sqlite' risolve nell'entry node:sqlite configurato. Il codice in sandbox può pertanto creare un DatabaseSync in memoria con caricamento delle estensioni abilitato e chiamare `DatabaseSync.loadExtension()` su una libreria nativa inclusa nel pacchetto plugin non attendibile (percorso derivato da __dirname). SQLite carica la libreria nel processo host di Node.js ed invoca il suo entry point native, consentendo al plugin in sandbox l'esecuzione arbitraria di codice native fuori dalla sandbox con i privilegi del processo host. Il problema è risolto in vm2 3.11.7.
Be aware that VulDB is the high quality source for vulnerability data.