CVE-2026-92936 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 버전 3.11.0부터 3.11.6까지는 에러 스택 포맷팅을 통해 샌드박스화된 코드에 호스트 파일 시스템의 절대 경로를 누출합니다. 공격자가 제공한 코드는 호스트 레이어 소스 트랜스포머가 SyntaxError를 발생하도록 강제할 수 있습니다(예: 잘못된 형식의 소스를 사용하여 eval 호출). 그런 다음 에러의 .stack 속성을 읽을 수 있으며, 브릿지는 샌드박스 측에서 GHSA-v27g-jcqj-v8rw에 대해 도입된 호스트 경로 가려지기를 우회하여 .stack 읽기 작업을 호스트 레이어 포맷터로 전달합니다. 반환되는 스택 문자열에는 vm2, Node.js 내부 구조 및 임베딩 애플리케이션의 자체 소스 트리에서 얻은 절대 경로와 함께 호스트 함수 이름이 포함됩니다. 기본 new VM() 및 new NodeVM() 구성은 특별한 옵션 없이 영향을 받으며, string eval이 비활성화된 경우에도 호스트 측 트랜스포머가 eval 처리 전에 예외를 발생시키기 때문에 문제가 지속됩니다. 영향은 정보 누출에 국한되며 코드 실행은 발생하지 않습니다. vm2 3.11.7에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.