CVE-2026-92952 in vm2
Riassunto
di VulDB • 17/09/2026
Le versioni di vm2 dalla 3.11.4 alla 3.11.6 filtrano in modo incompleto i simboli interni registrati da Node.js attraverso il confine della sandbox. I filtri di estrazione in lib/setup-sandbox.js e i controlli dei simboli cross-realm e le write trap in lib/bridge.js utilizzano un elenco fisso di simboli registrati pericolosi noti che omette nodejs.stream.disturbed e nodejs.stream.errored, esposti sui prototipi host WebStream nelle versioni più recenti di Node.js (confermato su Node.js v25.8.0). Quando l'embedder espone un oggetto host WebStream e il modulo stream/web host alla sandbox, il codice della sandbox può ottenere i veri simboli host tramite Object.getOwnPropertySymbols(streamWeb.ReadableStream.prototype) e utilizzarli come chiavi di scrittura sugli oggetti stream host, corrompendo lo stato dello stream visibile dall'host — ad esempio facendo sì che stream.Readable.isDisturbed() restituisca false per uno stream già consumato. Ciò può bypassare la logica dell'host che si affida agli helper pubblici Node.js per lo stato degli stream per imporre il consumo del body one-shot, rifiutare gli stream con errori o decidere se uno stream è sicuro da passare a un altro componente. Non si tratta di una primitiva di esecuzione di codice host nella prova di vulnerabilità riportata. Questa è una correzione incompleta della precedente questione relativa al filtraggio dei simboli nodejs.*. Risolto in vm2 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.