CVE-2026-92938
vm2 permite que um plugin sandboxed execute código nativo através de `node:sqlite`
Traduzido automaticamente do inglês.
vm2 3.11.6 expõe o módulo host node:sqlite do Node.js para o código NodeVM quando esse módulo interno é permitido explicitamente ou através de builtin: ['*']. O módulo é envolvido como somente leitura, mas os métodos chamáveis retêm a autoridade do processo host. Um plugin sandboxed pode construir um banco de dados em memória com carregamento de extensão habilitado e chamar DatabaseSync.loadExtension() em uma biblioteca nativa empacotada no diretório do plugin.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.9 (v3.1)
- EPSS
- 0,62% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) >= 3.11.3, <= 3.11.6, corrigido em 3.11.7 · GHSA-6w8r-xxw2-g3hx