CVE-2026-92949 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 a partir da 3.9.6 até antes da 3.11.7 não restringem adequadamente o acesso às propriedades de acessador em objetos congelados (frozen objects), permitindo que scripts isolados no sandbox contornem as proteções do `vm.freeze()` e do `vm.readonly()`. Os atacantes podem usar `Object.getOwnPropertyDescriptor()` ou `__lookupSetter__()` para extrair e invocar diretamente os setters dos objetos host, modificando propriedades que o embedder marcou explicitamente como somente leitura (read-only).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.