CVE-2026-92940 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 버전 3.11.3부터 3.11.6까지에서는 NodeVM이 require('https')를 허용하도록 명시적으로 구성된 경우, 샌드박스화된 코드에 호스트 프로세스의 실제 https.globalAgent가 노출됩니다. 내장 로더는 호스트 모듈을 읽기 전용 프록지로 감싸지만, Agent.prototype.on()과 같은 메서드 호출은 하위 호스트 객체로 전달되므로, 샌드박스 코드는 에이전트의 'free' 이벤트에 대한 리스너를 등록할 수 있습니다. 관련 없는 호스트 HTTPS 요청이 풀링된 연결을 해제하면, 해당 리스너는 라이브 호스트 요청 옵션과 호스트 TLSSocket을 수신하게 되며, 이를 통해 샌드박스화된 코드는 호스트의 Authorization 헤더와 비공개 목적지 호스트/포트를 읽거나, 해제된 소켓에 데이터 리스너를 부착하여 후속 호스트 응답 본문을 평문으로 읽고, 훔친 자격 증명을 사용하여 공격자가 선택한 인증 요청을 수행할 수 있습니다. 이 문제는 3.11.7에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.