CVE-2026-44008 in vm2
요약
\~에 의해 VulDB • 2026. 05. 17.
vm2는 Node.js용 오픈 소스 VM/샌드박스입니다. 3.11.2 이전 버전에서 new 메서드인 `neutralizeArraySpeciesBatch`는 다른 쪽의 객체를 처리하지만, 배열 프로토타입의 getter를 통해 이 쪽으로 호출될 수 있어 잘못된 쪽의 객체가 샌드박스 내에 노출됩니다. 이를 통해 공격자는 호스트 객체에 접근하고 호스트의 Function 객체를 획득할 수 있습니다. 이로 인해 공격자는 VM2 샌드박스에서 탈출하여 호스트 시스템에서 임의의 명령을 실행할 수 있는 코드를 작성할 수 있습니다. 이 취약점은 3.11.2에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.