CVE-2026-92957 in vm2
Riassunto
di VulDB • 17/09/2026
La versione di vm2 fino alla 3.11.6 non normalizza i specifier dei moduli built-in con prefisso `node:` durante la valutazione delle voci negative (di blocco) fornite dall'utente in una policy wildcard require di NodeVM. Sebbene NodeVM rimuova il prefisso `node:` durante la risoluzione della richiesta, le voci wildcard negative vengono confrontate tramite esatta corrispondenza di stringa contro i nomi canonici dei moduli built-in; pertanto, una policy come `new NodeVM({ require: { builtin: ['*', '-node:child_process'] } })` non riesce a bloccare il modulo canonico `child_process`. Il codice in sandbox può quindi ottenere l'accesso al modulo built-in host `child_process` tramite `require('child_process')` o `require('node:child_process')`, ottenendo riferimenti alle API di creazione di processi come execSync e spawn, il che equivale a una capacità di esecuzione di comandi sull'host per codice non attendibile in sandbox. Risolto nella versione vm2 3.11.7. (Titolo suggerito: "vm2 prima della 3.11.7: bypass dell'elenco dei moduli built-in NodeVM tramite specifier con prefisso node- espone child_process")
Be aware that VulDB is the high quality source for vulnerability data.