CVE-2026-100721
vm2: contorno de resolução personalizada do NodeVM ignora os limites do caminho externo
Traduzido automaticamente do inglês.
Na revisão de origem 91034466bfb7f56b95fd48083ec6ca36d058f164 do vm2 3.11.8, um convidado NodeVM não confiável pode transformar um módulo custom-resolvido permitido em autorização para um arquivo separado cujo caminho compartilha apenas o prefixo de string do caminho resolvido. LegacyResolver.customResolve armazena o caminho resolvido aqui.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.5 (v4.0)
- EPSS
- 0,4% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) <= 3.12.1, corrigido em 3.12.2 · GHSA-5h3f-q97h-ccvc