CVE-2026-92962 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 は、信頼できない JavaScript を実行するためのサンドボックスです。vm2 のバージョン 3.11.3 以前では、lib/setup-sandbox.js 内の defaultSandboxPrepareStackTrace 関数が、プロトタイプ回避用の define-property プリミティブではなく、プロトタイプをたどるインデックス代入（lines[lines.length] = value）を使用して出力配列を構築します。このブリッジ内部の配列はサンドボックスレルム内で割り当てられるため、サンドボックス内のコードは関連するインデックスに対して Array.prototype にアクセサーを設定できます；その結果、サンドボックスが error.stack を読み取る（または Error.prepareStackTrace をトリガーする）たびにアクセサーが呼び出され、サンドボックスコードはブリッジによって書き込まれる各スタックトレースの行を観察およびインターセプトできるようになります。同じパターンがエラーハンドリング（catch）ブランチでも使用されています。書き込まれる値はフォーマット済み文字列のみであるため、実質的な影響は情報サイドチャネルと vm2 のブリッジコンテナ防御不変条件の違反に限定され、サンドボックスエスケープには至りません；ベンダーはこの問題を Low と評価しています。この問題は、各エントリーを Reflect.defineProperty を介して own data property としてインストールする vm2 3.11.4 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.