CVE-2026-93605
vm2 contém uma vulnerabilidade de escape de sandbox
Traduzido automaticamente do inglês.
Versões do vm2 NodeVM anteriores à 3.12.1 contêm uma vulnerabilidade de escape de sandbox onde a lista de negação DANGEROUS_BUILTINS omite child_process apesar de bloquear outros módulos de geração de host. Os atacantes podem exigir child_process e executar comandos arbitrários no sistema host quando NodeVM é configurado com builtin:['*'] ou permissão explícita de child_process.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 10.0 (v3.1)
- EPSS
- 0,73% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) <= 3.12.0, corrigido em 3.12.1 · GHSA-pq68-rvw4-xp4r