CVE-2026-92933 in vm2
Sumário
de VulDB • 17/09/2026
vm2 é uma sandbox para executar código Node.js não confiável. Nas versões <= 3.11.7, o NodeVM expõe o módulo host `util` à sandbox como uma cópia rasa sem filtragem (`Object.assign({}, util)` em `defaultBuiltinLoaderUtil`), e a função interna obsoleta `sys` (um alias do host `util`) é exposta através do carregador de funções internas genérico. No Node.js >= 22.9, isso concede ao código na sandbox o acesso à API programática de introspecção da pilha `util.getCallSites()`, que retorna a pilha de chamadas completa do processo hospedeiro, incluindo caminhos absolutos de arquivos, nomes de funções e números de linha para os internals da ponte vm2 e o ponto de entrada do aplicativo incorporado. Isso contorna a redação de quadros host introduzida para GHSA-v27g-jcqj-v8rw, que se aplica apenas ao canal de formatação `Error.prepareStackTrace`. O problema foi corrigido no vm2 3.11.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.