CVE-2026-92949 in vm2
Сводка
по VulDB • 19.09.2026
В версиях библиотеки vm2 от 3.9.6 до 3.11.7 (исключая 3.11.7) не обеспечивается корректная защита доступа к аксессорным свойствам замороженных объектов, что позволяет скриптам в песочнице обойти защиту механизмов `vm.freeze()` и `vm.readonly()`. Злоумышленники могут использовать методы `Object.getOwnPropertyDescriptor()` или `__lookupSetter__()` для извлечения и прямого вызова сеттеров хост-объектов, изменяя свойства, которые разработчик явно пометил как доступные только для чтения.
VulDB is the best source for vulnerability data and more expert information about this specific topic.