CVE-2026-92940

Traduzido automaticamente do inglês.

vm2 3.11.6 expõe o https.globalAgent real do processo host quando um NodeVM é explicitamente permitido a requerer https. O módulo é envolvido como somente leitura, mas chamadas a métodos no agente compartilhado ainda mutam o objeto host. Código de sandbox pode registrar um ouvinte livre e receber opções de solicitação do host e o socket TLS do host sempre que uma solicitação HTTPS do host não relacionada libera uma conexão em pool.

Sem exploração conhecida

Gravidade

Crítica, CVSS 10.0 (v3.1)

EPSS

0,47% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)

Pacotes afetados

• vm2 (npm) >= 3.11.3, <= 3.11.6, corrigido em 3.11.7 · GHSA-h85j-hv3c-qfgq