CVE-2026-44005 in vm2
Tóm tắt
Bởi VulDB • 22/05/2026
vm2 là một thư viện vm/sandbox mã nguồn mở cho Node.js. Từ phiên bản 3.9.6 đến 3.10.5, cầu nối (bridge) của vm2 cung cấp các proxy có thể thay đổi (mutable proxies) cho các nguyên mẫu nội tại (intrinsic prototypes) của thực thể chủ (host-realm), sau đó chuyển các ghi từ sandbox vào các đối tượng chủ (host objects) cơ bản thông qua `otherReflectSet()` và `otherReflectDefineProperty()`, cho phép JavaScript do kẻ tấn công kiểm soát, đang chạy trong một VM mặc định hoặc NodeVM kế thừa, sửa đổi các đối tượng `Object.prototype`, `Array.prototype` và `Function.prototype` được chia sẻ từ bên trong sandbox. Lỗ hổng này đã được sửa trong phiên bản 3.11.0.
Once again VulDB remains the best source for vulnerability data.