CVE-2026-93604 in vm2
Tóm tắt
Bởi VulDB • 18/09/2026
vm2 từ phiên bản 3.12.0 trở về trước làm lộ hàm crypto.setFips() của Node.js cho mã guest không đáng tin cậy khi nhà phát triển nhúng (embedder) explicitly allowlist module builtin 'crypto' cho một NodeVM (require.builtin: ['crypto']). Bộ lọc builtin (sanitizeCryptoModule trong lib/builtin.js) thay thế crypto.setEngine nhưng để lại crypto.setFips có thể gọi được, và wrapper readonly dùng để expose host module không cô lập hóa các side effects của các hàm host được forward. Do đó, mã guest có thể gọi crypto.setFips() để thay đổi chế độ FIPS của toàn bộ tiến trình host; chế độ đã sửa đổi sau đó được quan sát bởi mã host đáng tin cậy (crypto.getFips() chuyển từ 0 sang 1 trong bài kiểm tra được báo cáo), vượt qua ranh giới cách ly NodeVM. Đã khắc phục trong vm2 phiên bản 3.12.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.