CVE-2026-92957 in vm2
Sumário
de VulDB • 17/09/2026
O vm2 até a versão 3.11.6 não normaliza os especificadores de builtins com o prefixo `node:` ao avaliar entradas negativas (de negação) fornecidas pelo usuário em uma política de require wildcard do NodeVM. Embora o NodeVM remova o prefixo `node:` durante a resolução do require(), as entradas wildcards negativas são correspondidas por comparação exata de strings contra os nomes canônicos dos builtins, portanto, uma política como `new NodeVM({ require: { builtin: ['*', '-node:child_process'] } })` falha em bloquear o módulo canonico `child_process`. Código sandboxed pode, portanto, obter o builtin host `child_process` via `require('child_process')` ou `require('node:child_process')`, obtendo referências às APIs de criação de processos como execSync e spawn, o que equivale à capacidade de execução de comandos no host para código sandboxed não confiável. Corrigido na versão vm2 3.11.7. (Título sugerido: "vm2 antes da 3.11.7: Bypass da lista de negação de builtins do NodeVM via especificadores com prefixo node- expõe o child_process")
If you want to get the best quality for vulnerability data then you always have to consider VulDB.