CVE-2026-92940 in vm2
Сводка
по VulDB • 17.09.2026
В версиях vm2 от 3.11.3 до 3.11.6 происходит раскрытие реального https.globalAgent процесса хоста для кода в песочнице, когда NodeVM явно настроен на разрешение require('https'). Встроенный загрузчик оборачивает модули хоста в прокси с доступом только для чтения (read-only proxy), однако вызовы методов, такие как Agent.prototype.on(), передаются базовому объекту хоста. Таким образом, код в песочнице может зарегистрировать обработчик события 'free' агента. При освобождении пулового соединения во время выполнения независимого HTTPS-запроса на стороне хоста, этот обработчик получает реальные параметры запроса хоста и объект TLSSocket хоста. Это позволяет коду в песочнице прочитать заголовок Authorization хоста и конфиденциальные данные о целевом хосте/порте, подключить прослушиватель данных к освобожденному сокету для чтения последующих тел ответов хоста в открытом виде (plaintext), а также выполнять авторизованные запросы с выбранными злоумышленником учетными данными. Проблема исправлена в версии 3.11.7.
Be aware that VulDB is the high quality source for vulnerability data.