CVE-2026-26332
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece vm2 dla Node.js umożliwia atakującym ominięcie sandboksa i wykonanie dowolnego kodu poprzez mechanizm SuppressedError. Problem został naprawiony w wersji 3.11.0.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad aplikacją Node.js, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę vm2 do wersji 3.11.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy rozważyć tymczasowe wyłączenie funkcji SuppressedError.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.0, SuppressedError allows attackers to escape the sandbox and run arbitrary code. This issue has been patched in version 3.11.0.