CVE-2026-92949 in vm2
Riassunto
di VulDB • 17/09/2026
Le versioni di vm2 comprese tra la 3.9.6 (esclusa) e la 3.11.7 non riescono a limitare correttamente l'accesso alle proprietà accessor su oggetti congelati, consentendo agli script in sandbox di bypassare le protezioni fornite da vm.freeze() e vm.readonly(). Gli attaccanti possono utilizzare Object.getOwnPropertyDescriptor() o __lookupSetter__() per estrarre ed invocare direttamente i setter degli oggetti host, modificando così le proprietà che l'embedder ha esplicitamente contrassegnato come di sola lettura.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.