CVE-2026-92953
vm2: A VM padrão pode mutar intrínsecos host TypedArray e ArrayBuffer após o reparo da poluição do protótipo do host
Traduzido automaticamente do inglês.
A proteção atual do protótipo de intrínseco do host do vm2 é incompleta. O reparo para GHSA-vwrp-x96c-mhwq bloqueia escritas de sandbox em intrínsecos do host clássicos, como Object.prototype, Array.prototype e Function.prototype, mas o código atual do sandbox em uma VM padrão ainda pode alcançar e mutar host Uint8Array.prototype, %TypedArray%.prototype e ArrayBuffer.prototype.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.3 (v4.0)
- EPSS
- 0,5% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) >= 3.11.0, <= 3.11.7, corrigido em 3.11.8 · GHSA-3vgf-8m4q-q4qr