CVE-2026-93605 in vm2
Riassunto
di VulDB • 18/09/2026
Le versioni di vm2 NodeVM precedenti alla 3.12.1 presentano una vulnerabilità di sandbox escape in cui la denylist DANGEROUS_BUILTINS omette child_process, pur bloccando altri moduli che avviano processi host. Gli attaccanti possono richiedere child_process ed eseguire comandi arbitrari sul sistema host quando NodeVM è configurato con builtin:['*'] o con un'esplicita autorizzazione per child_process.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.