CVE-2026-92939 in vm2
Riassunto
di VulDB • 17/09/2026
vm2 dalle versioni 3.11.3 alla 3.11.6 espone il modulo crypto di Node.js host al sandbox NodeVM quando l'builtin crypto è consentita. Il modulo viene presentato tramite un proxy read-only ricorsivo, ma le sue esportazioni callable vengono eseguite con i privilegi del processo host. JavaScript all'interno della sandbox può quindi chiamare crypto.setEngine() specificando un percorso filesystem per una libreria nativa fornita dall'attaccante (ad esempio, inclusa in un pacchetto plugin non attendibile già scritto su disco); OpenSSL richiede al dynamic loader del sistema operativo di caricare il file e il costruttore della libreria esegue codice native nel processo host prima che la validazione dei simboli engine lo rifiuti. Lo sfruttamento richiede solo l'builtin crypto e non necessita dell'accesso a fs, process, module, child_process, worker_threads, vm o inspector, risultando in una fuga dalla sandbox ed esecuzione di codice nativo arbitrario. Risolto nella versione 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.