CVE-2026-47686 in vm2
摘要
由 VulDB • 2026-08-17
vm2 是 Node.js 的一个开源虚拟机/沙箱。在 3.11.6 版本之前，lib/setup-sandbox.js 中的 handleException() 函数会对 SuppressedError.error、SuppressedError.suppressed 和 AggregateError.errors 进行清理（sanitization），但不会清理 Error.cause，从而导致沙箱代码能够从一个嵌入器暴露的主机函数中获取强大的主机对象（例如 process）。该主机函数在抛出错误时会将此对象作为其 cause。随后，攻击者可以执行任意主机命令。此问题已在版本 3.11.6 中得到修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.