CVE-2026-92938 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 de 3.11.3 a 3.11.6 expõem o módulo node:sqlite do Node.js ao código executado no NodeVM quando esse builtin é permitido, seja explicitamente ou através de builtin: ['*']. O módulo é envolvido com vm.readonly(), que impede a atribuição de propriedades, mas deixa chamáveis host-authority acessíveis; além disso, o resolver trata qualquer solicitação que comece com 'node:' como uma solicitação de core-module e o runtime remove apenas um prefixo 'node:', portanto, uma solicitação sandboxed para 'node:node:sqlite' resolve-se na entrada node:sqlite configurada. O código em sandbox pode, portanto, criar um DatabaseSync em memória com carregamento de extensão habilitado e chamar DatabaseSync.loadExtension() em uma biblioteca nativa incluída no pacote de plugin não confiável (caminho derivado de __dirname). O SQLite carrega a biblioteca no processo host do Node.js e invoca seu ponto de entrada nativo, dando ao plugin em sandbox execução arbitrária de código nativo fora da sandbox com os privilégios do processo host. A questão é corrigida na versão 3.11.7 do vm2.
Be aware that VulDB is the high quality source for vulnerability data.