CVE-2026-92941
vm2 NodeVM pode substituir o armazenamento de confiança TLS do processo host
Traduzido automaticamente do inglês.
vm2 3.11.6 expõe o módulo tls do host a um NodeVM quando esse módulo embutido é explicitamente permitido. Embora o objeto do módulo seja envolvido como somente leitura, suas funções ainda são executadas contra o estado do host em todo o processo. Em versões do Node.js que fornecem tls.setDefaultCACertificates(), o código de sandbox pode substituir as autoridades certificadoras confiáveis por clientes TLS subsequentes do host-realm.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- EPSS
- 0,29% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) >= 3.11.3, <= 3.11.6, corrigido em 3.11.7 · GHSA-98xx-8mx4-x7cm