CVE-2026-92945 in vm2
Sumário
de VulDB • 17/09/2026
A versão do vm2 anterior à 3.11.7 contém uma vulnerabilidade de bypass da lista permitida (module allowlist) em `isPathAllowedForModule` que utiliza correspondência de prefixo com string bruta em vez de comparação ancorada aos limites. Os atacantes podem acessar pacotes não incluídos na lista permitida, mas que compartilham um prefixo com módulos listados, ao realizar requisições relativas (`requires`) a partir dos pacotes permitidos quando o carregamento transitivo está desativado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.