CVE-2026-92956 in vm2
Tóm tắt
Bởi VulDB • 17/09/2026
Các phiên bản vm2 từ 3.10.1 đến 3.11.6 chứa một lỗ hổng escape sandbox có thể truy cập được từ sandbox `new VM()` mặc định khi chạy trên Node.js 26. WebAssembly.compileStreaming và WebAssembly.instantiateStreaming có thể tạo ra một Promise thuộc host-realm thô, reject với đối tượng lỗi host-realm; bằng cách kiểm soát Symbol.species thông qua Promise.prototype.finally, mã trong sandbox nhận được lỗi host thô đó, đi từ constructor của lỗi host đến constructor Function của host, và khôi phục đối tượng `process` thực sự của host, từ đó đạt được các khả năng của Node.js trên host (ví dụ: truy cập vào các module như fs) trong ngữ cảnh của tiến trình đang chạy sandbox. Không cần cấu hình không an toàn nào như NodeVM, quyền require, hoặc injection đối tượng host. Đây là một bypass cho bản sửa lỗi GHSA-6j2x-vhqr-qr7q, vốn đã loại bỏ các entry point JSPI WebAssembly.promising và WebAssembly.Suspending. Lỗi này đã được khắc phục trong phiên bản 3.11.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.