CVE-2026-92939

Traduzido automaticamente do inglês.

vm2 3.11.6 expõe o módulo crypto do host para um NodeVM quando esse único builtin é permitido. O módulo é apresentado através de uma ponte de leitura apenas, mas suas funções ainda executam com autoridade do processo host. crypto.setEngine() aceita um caminho do sistema de arquivos e solicita ao OpenSSL que carregue dinamicamente a biblioteca nativa referenciada.

Sem exploração conhecida

Gravidade

Crítica, CVSS 9.9 (v3.1)

EPSS

0,62% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)

Pacotes afetados

• vm2 (npm) >= 3.11.3, <= 3.11.6, corrigido em 3.11.7 · GHSA-46pr-c5wc-xffx