CVE-2026-92952 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 de 3.11.4 até 3.11.6 filtram incompletamente os símbolos internos registrados no Node.js através da fronteira da sandbox. Os filtros de extração em lib/setup-sandbox.js e as verificações de símbolo entre domínios (cross-realm) e traps de escrita em lib/bridge.js utilizam uma lista fixa de símbolos registrados perigosos conhecidos que omite nodejs.stream.disturbed e nodejs.stream.errored, os quais são expostos nos protótipos do WebStream do host nas versões mais recentes do Node.js (validado no Node.js v25.8.0). Quando o embedder expõe um objeto WebStream do host e o módulo de stream/web do host para a sandbox, o código da sandbox pode obter os símbolos reais do host via Object.getOwnPropertySymbols(streamWeb.ReadableStream.prototype) e usá-los como chaves de escrita em objetos de stream do host, corrompendo o estado visível pelo host — por exemplo, fazendo com que stream.Readable.isDisturbed() retorne false para uma stream já consumida. Isso pode contornar a lógica do host que depende dos auxiliares públicos de estado da stream do Node.js para impor o consumo único do corpo (one-shot body consumption), rejeitar streams em erro ou decidir se uma stream é segura para ser passada a outro componente. Não se trata de um primitivo de execução de código no host na prova de vulnerabilidade relatada. Esta é uma correção incompleta para a questão anterior de filtragem dos símbolos nodejs.*. Corrigido no vm2 3.11.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.