CVE-2026-92936 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 de 3.11.0 a 3.11.6 vazam caminhos absolutos do sistema de arquivos host para código em sandbox por meio da formatação do stack trace de erros. Código fornecido pelo atacante pode forçar o transformador de origem no domínio do host a lançar um SyntaxError (por exemplo, chamando eval com uma fonte malformada) e então ler a propriedade .stack do erro; a ponte encaminha a leitura de .stack para o formatador do domínio do host, contornando a redação de caminhos do host introduzida no lado da sandbox para GHSA-v27g-jcqj-v8rw. A string stack retornada revela caminhos absolutos do vm2, dos internals do Node.js e da própria árvore de fontes do aplicativo incorporado, juntamente com nomes de funções do host. As configurações padrão new VM() e new NodeVM() são afetadas sem nenhuma opção especial, e o problema persiste quando a eval em string está desativada porque o transformador no lado do host lança uma exceção antes que a eval seja processada. O impacto é apenas de divulgação de informações; não há execução de código resultante. Corrigido na versão vm2 3.11.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.