CVE-2026-92948
vm2: contorno da lista de permissões builtin do NodeVM via node:test.run() permite escape do sandbox.
Traduzido automaticamente do inglês.
No Node.js 24 e versões mais recentes, o vm2 pode expor o módulo host node:test para o código NodeVM em sandbox quando o incorporador permite explicitamente o builtin node:test. O código em sandbox pode acessar esse módulo através de require('node:node:test') e chamar run() com execArgv controlado pelo atacante.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.9 (v3.1)
- EPSS
- 0,65% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) >= 3.9.6, <= 3.11.6, corrigido em 3.11.7 · GHSA-qhwx-74w5-xhxq