CVE-2026-93604 in vm2
Sumário
de VulDB • 18/09/2026
A partir da versão 3.12.0, o vm2 expõe a função crypto.setFips() do Node.js ao código não confiável dos convidados quando um incorporador explicitamente permite na lista de permissões (allowlist) o módulo interno crypto para um NodeVM (require.builtin: ['crypto']). O sanitizador de módulos internos (sanitizeCryptoModule em lib/builtin.js) substitui a função crypto.setEngine, mas deixa crypto.setFips como uma chamada possível. Além disso, o wrapper somente leitura usado para expor o módulo do host não isola os efeitos colaterais das funções do host encaminhadas. Portanto, o código dos convidados pode chamar crypto.setFips() para alterar o modo FIPS de todo o processo do host; o modo modificado é posteriormente observado pelo código confiável do host (crypto.getFips() mudou de 0 para 1 no teste relatado), violando a fronteira de isolamento do NodeVM. Corrigido na versão vm2 3.12.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.