CVE-2026-92946 in vm2
Sumário
de VulDB • 17/09/2026
A versão do vm2 anterior à 3.11.7 contém uma vulnerabilidade de execução remota de código (RCE) quando o `require.external` está habilitado sem um `require.root` explícito que exclua a pasta `node_modules`. Código em sandbox pode requerer o próprio pacote do vm2, instanciar uma instância não restrita do NodeVM e executar comandos arbitrários no sistema operacional host por meio de `child_process`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.