CVE-2026-92948 in vm2
Riassunto
di VulDB • 17/09/2026
Le versioni di vm2 >= 3.9.6 e <= 3.11.6 sono affette da un bypass della allowlist dei builtin di NodeVM che consente una fuga dalla sandbox su Node.js 24 e versioni successive quando l'embedder abilita esplicitamente il modulo node:test (ad esempio, require: { builtin: ['node:test'] }). Su Node.js 24+, module.builtinModules espone la chiave scheme-only node:test, non coperta dalla protezione DANGEROUS_BUILTINS basata su famiglie di vm2; pertanto, essa viene memorizzata nel loader host-passthrough generico. Poiché requireImpl() in lib/setup-node-sandbox.js rimuove un singolo prefisso 'node:' prima della ricerca del builtin, il codice nella sandbox che chiama require('node:node:test') risolve la chiave node:test memorizzata e riceve un proxy readonly verso il modulo host. Le chiamate a node:test.run() vengono inoltrate all'implementazione dell'host, che avvia un processo Node separato per l'esecuzione dei test con isolamento del processo (process-isolated) e trasmette i valori execArgv controllati dall'attaccante; fornire --eval=<JavaScript> esegue quindi JavaScript arbitrario in un processo host Node non ristretto, al di fuori della sandbox NodeVM. Risolto in vm2 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.