quarta-feira, 7 de outubro
-
CVE-2026-93605
vm2 contém uma vulnerabilidade de escape de sandbox
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,73%
- Versão corrigida informada
-
CVE-2026-93605
segunda-feira, 5 de outubro
-
CVE-2026-92955
vm2: Escape do sandbox (NodeVM)
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,71%
- Versão corrigida informada
-
CVE-2026-92946
vm2: Acesso irrestrito ao sistema de arquivos do host e RCE total com `require.external` sem um `require.root` explícito
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,86%
- Versão corrigida informada
-
CVE-2026-92947
vm2: código em sandbox pode ler e escrever a memória do realm do host via o pool de Buffer compartilhado do Node
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,48%
- Versão corrigida informada
-
CVE-2026-92956
Fuga de sandbox vm2 via bypass de espécie Promise do WebAssembly.compileStreaming
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,59%
- Versão corrigida informada
-
CVE-2026-100721
vm2: contorno de resolução personalizada do NodeVM ignora os limites do caminho externo
- patriksimek vm2
- Crítica
- CVSS 9.5
- EPSS 0,4%
- Versão corrigida informada
-
CVE-2026-92934
escape de sandbox vm2 para execução remota de código no host via contornagem revisitada de AggregateError envolvido pelo host que contorna o ciclo de curto-circuito de sanitização de erro
- patriksimek vm2
- Crítica
- CVSS 9.5
- EPSS 0,76%
- Versão corrigida informada
-
CVE-2026-92953
vm2: A VM padrão pode mutar intrínsecos host TypedArray e ArrayBuffer após o reparo da poluição do protótipo do host
- patriksimek vm2
- Crítica
- CVSS 9.3
- EPSS 0,5%
- Versão corrigida informada
-
CVE-2026-92954
vm2: A rejeição de Promise retornada pelo host pode contornar o endurecimento de rejeição não tratada do vm2 e encerrar o processo host
- patriksimek vm2
- Crítica
- CVSS 9.2
- EPSS 0,49%
- Versão corrigida informada
-
CVE-2026-92955
quinta-feira, 1 de outubro
-
CVE-2026-92940
vm2 expõe credenciais HTTPS do host e tráfego TLS através do globalAgent
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,47%
- Versão corrigida informada
-
CVE-2026-92937
vm2: contorno do fix GHSA-m283-3h24-438v leva à execução remota de código no host via indireção de call/apply
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 1,03%
- Versão corrigida informada
-
CVE-2026-92941
vm2 NodeVM pode substituir o armazenamento de confiança TLS do processo host
- patriksimek vm2
- Crítica
- CVSS 10.0
- EPSS 0,29%
- Versão corrigida informada
-
CVE-2026-92948
vm2: contorno da lista de permissões builtin do NodeVM via node:test.run() permite escape do sandbox.
- patriksimek vm2
- Crítica
- CVSS 9.9
- EPSS 0,65%
- Versão corrigida informada
-
CVE-2026-92951
O Resolvedor de Módulos Personalizado do vm2 Pode Contornar a Lista de Permissão de Pacotes Externos Carregando um Pacote Host Colidente
- patriksimek vm2
- Crítica
- CVSS 9.9
- EPSS 0,54%
- Versão corrigida informada
-
CVE-2026-92957
vm2: bypass de negação de builtin prefixado com node:- no child_process expõe o NodeVM
- patriksimek vm2
- Crítica
- CVSS 9.9
- EPSS 0,54%
- Versão corrigida informada
-
CVE-2026-92938
vm2 permite que um plugin sandboxed execute código nativo através de `node:sqlite`
- patriksimek vm2
- Crítica
- CVSS 9.9
- EPSS 0,62%
- Versão corrigida informada
-
CVE-2026-92939
vm2 crypto builtin carrega código nativo do atacante através de setEngine
- patriksimek vm2
- Crítica
- CVSS 9.9
- EPSS 0,62%
- Versão corrigida informada
-
CVE-2026-92944
escape de sandbox vm2 no Node.js 26 através de um protector PromiseThenLookupChain obsoleto
- patriksimek vm2
- Crítica
- CVSS 9.8
- EPSS 0,84%
- Versão corrigida informada
-
CVE-2026-92935
vm2: guarda de aninhamento do NodeVM aceita require em forma de array e permite execução remota de código no host
- patriksimek vm2
- Crítica
- CVSS 9.0
- EPSS 0,67%
- Versão corrigida informada
-
CVE-2026-92940