CVE-2026-92941 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 a partir da 3.11.3 até antes da 3.11.7 expõem o módulo tls do host ao código na sandbox NodeVM, permitindo que os atacantes chamem `tls.setDefaultCACertificates()` e substituam as autoridades de certificação (CAs) em todo o processo. Atacantes com acesso aos builtins permitidos para tls e url podem usar URLSearchParams para criar arrays no escopo do host e manipular a loja de confiança TLS, permitindo que clientes HTTPS subsequentes do host aceitem certificados controlados pelos atacantes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.