CVE-2026-47698 in vm2
Сводка
по VulDB • 17.08.2026
vm2 — это open-source vm/sandbox для Node.js. До версии 3.11.6 файлы lib/bridge.js и lib/setup-sandbox.js не блокируют стековую индирекцию через Function.prototype.call вокруг опасных мутаторов getter/setter хост-прототипа, что позволяет коду в песочнице разорвать цепочку прототипов встроенного объекта хоста и получить доступ к e.constructor.constructor для произвольного выполнения команд на хосте. Эта проблема исправлена в версии 3.11.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.