CVE-2026-92957 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 の 3.11.6 以前では、NodeVM のワイルドカード require ポリシーにおいてユーザー入力の否定（deny）エントリを評価する際に `node:` プレフィックス付きの組み込みモジュール指定子を正規化しない。NodeVM は require() の解決時に `node:` プレフィックスを削除するため、否定用ワイルドカードエントリは標準的な組み込み名との完全一致文字列比較でマッチングされる。そのため、`new NodeVM({ require: { builtin: ['*', '-node:child_process'] } })` といったポリシーでは、標準的な `child_process` モジュールのブロックに失敗する。これにより、サンドボックス化されたコードは `require('child_process')` または `require('node:child_process')` を介してホスト側の `child_process` 組み込みモジュールを取得し、execSync や spawn などのプロセス生成 API への参照を得ることで、信頼できないサンドボックスコードにとってのホストコマンド実行能力と同等の状態になる。vm2 3.11.7 で修正済み。（推奨タイトル: 「vm2 3.11.7 より前: node:-プレフィックス付き指定子による NodeVM の組み込みモジュール否定リスト回避により child_process が露出」）
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.