CVE-2026-92946
vm2: Acesso irrestrito ao sistema de arquivos do host e RCE total com `require.external` sem um `require.root` explícito
Traduzido automaticamente do inglês.
A opção require.external do NodeVM permite que o código em sandbox utilize require() para arquivos locais e pacotes npm. Quando require.external está habilitado e require.root não é explicitamente definido para um caminho que exclui node_modules, dois padrões se combinam para derrotar completamente o sandbox:
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- EPSS
- 0,86% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) <= 3.11.6, corrigido em 3.11.7 · GHSA-j3hm-6rg5-mchv