CVE-2026-92952 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 のバージョン 3.11.4 から 3.11.6 では、サンドボックス境界をまたぐ Node.js で登録された内部シンボルが不完全にフィルタリングされます。lib/setup-sandbox.js の抽出フィルターや、lib/bridge.js のクロスレルムシンボルチェックおよびライトトラップは、nodejs.stream.disturbed および nodejs.stream.errored を欠落した既知の危険な登録シンボルの固定リストを使用しています（これらは新しい Node.js リリースでホスト WebStream プロトタイプに公開されており、Node.js v25.8.0 で検証済みです）。エンベッダーがホスト WebStream オブジェクトとホスト ストリーム/ウェブ モジュールをサンドボックスに公開した場合、サンドボックス コードは Object.getOwnPropertySymbols(streamWeb.ReadableStream.prototype) を介して実際のホストシンボルを取得し、それらをホスト ストリームオブジェクトに対するライトキーとして使用することで、ホストから見えるストリームの状態を破損させることができます。例えば、すでに消費されたストリームに対して stream.Readable.isDisturbed() が false を返すようになります。これにより、1回限りのボディ消費の強制やエラー発生したストリームの拒否、または他のコンポーネントに渡すストリームの安全性判断のために Node の公開済みストリーム状態ヘルパーに依存するホロジックを回避できます。報告された脆弱性実証コードでは、これはホスト コード実行のプリミティブではありません。これは以前の nodejs.* シンボルフィルタリング問題に対する不完全な修正です。vm2 3.11.7 で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.