CVE-2026-92937
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersja vm2 3.11.6 jest podatna na ucieczkę z piaskownicy prowadzącą do zdalnego wykonania kodu w procesie hosta Node.js. Poprawka dla GHSA-m283-3h24-438v jest niekompletna: brama mostu w lib/bridge.js:1624 sprawdza tożsamość tylko celu bezpośredniego wywołania podczas podejmowania decyzji o odbudowaniu/oczyszczeniu odrzuconej wartości obietnicy hosta. Zarejestrowanie modułu obsługi odrzucenia poprzez funkcję Function.prototype.call lub pośrednio .apply (np. p.then.call(p, undefinied, cb)) powoduje przechwycenie hosta docelowego Function.prototype.call, więc moduł sanityzujący nigdy nie działa, a surowy błąd hosta dociera do kodu piaskownicy z nienaruszonymi własnymi właściwościami. Jeśli osadzający udostępni obietnicę obszaru hosta piaskownicy (asynchroniczna funkcja hosta połączona przez opcję piaskownicy lub metodę asynchroniczną modułu zewnętrznego NodeVM) i ta obietnica odrzuci z błędem niosącym nieprymitywną własną właściwość odwołującą się do obiektu hosta (na przykład err.detail = proces), niezaufany kod w piaskownicy uzyskuje w pełni funkcjonalny serwer proxy do tego obiektu hosta i może wykonywać dowolne polecenia z uprawnieniami procesu hosta (np. e.detail.mainModule.require('child_process').execSync(...)). Bezpośrednie formularze p.then(undefiniowane, cb), bind i Reflect.apply są prawidłowo oczyszczone. Naprawiono w vm2 3.11.7.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org