CVE-2026-92936 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 のバージョン 3.11.0 から 3.11.6 では、エラーのスタックフォーマット処理を通じて、サンドボックス化されたコードに対してホストファイルシステムの絶対パスが漏洩します。攻撃者が提供したコードにより、ホストレームのソーストランスフォーマーに SyntaxError を発生させることができます（例えば、不正なソースで eval を呼び出すなど）。その後、エラーの .stack プロパティを読み取ることで、ブリッジはサンドボックス側のホストパス赤文字化処理（GHSA-v27g-jcqj-v8rw に対して導入されたもの）を回避し、.stack の読み取りをホストレームのフォーマッタに転送します。返されるスタック文字列には、vm2、Node.js の内部実装、および埋め込みアプリケーション自身のソースツリーからの絶対パスに加え、ホスト関数名が含まれます。特別なオプションなしでデフォルトの new VM() および new NodeVM() 構成が影響を受け、文字列 eval が無効化されている場合でも問題は継続します（これは、eval の処理前にホスト側のトランスフォーマーが例外をスローするためです）。本脆弱性の影響は情報漏洩のみであり、コード実行にはつながりません。vm2 3.11.7 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.