CVE-2026-93605 in vm2
要約
〜によって VulDB • 2026年09月18日
vm2 の NodeVM 3.12.1 より前のバージョンには、サンドボックスエスケープの脆弱性が存在します。DANGEROUS_BUILTINS のdenylist（ブロックリスト）は他のホストプロセス生成モジュールをブロックしているにもかかわらず、child_process を除外しています。攻撃者は child_process を require し、NodeVM が builtin:['*'] または明示的な child_process 許可で構成されている場合、ホストシステム上で任意のコマンドを実行できます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.