CVE-2026-92957 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 3.11.6 이전 버전은 노드 VM의 와일드카드 require 정책에서 사용자 제공 부정(거부) 항목을 평가할 때 `node:` 접두사가 붙은 빌트인 지정자를 정규화하지 않습니다. NodeVM은 require() 해결 과정에서 `node:` 접두사를 제거하지만, 부정 와일드카드 항목은 표준 빌트인 이름과 정확히 일치하는 문자열 비교로 매칭되므로, `new NodeVM({ require: { builtin: ['*', '-node:child_process'] } })`와 같은 정책이 표준 `child_process` 모듈을 거부하지 못합니다. 따라서 샌드박스화된 코드는 `require('child_process')` 또는 `require('node:child_process')`를 통해 호스트의 `child_process` 빌트인에 접근할 수 있으며, execSync 및 spawn과 같은 프로세스 생성 API에 대한 참조 권한을 얻게 됩니다. 이는 신뢰할 수 없는 샌드박스 코드에게 호스트 명령 실행 능력과 동등한 것입니다. vm2 3.11.7에서 수정되었습니다. (제안된 제목: "vm2 3.11.7 이전 버전: node:-접두사 지정자를 통한 NodeVM 빌트인 거부 목록 우회로 child_process 노출")
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.