CVE-2026-43997
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece vm2 dla Node.js przed wersją 3.11.0 umożliwia uzyskanie dostępu do obiektu hosta. Atakujący może wykorzystać różne metody, np. HostObject.getOwnPropertySymbols, aby uzyskać Symbol(nodejs.util.inspect.custom) i uciec z piaskownicy.
Ocena ryzyka
Ryzyko polega na możliwości całkowitego ominięcia izolacji piaskownicy, co może prowadzić do wykonania dowolnego kodu na serwerze i naruszenia poufności oraz integralności danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę vm2 do wersji 3.11.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, it is possible to obtain the host Object. There are various ways to use the host Object, to escape the sandbox, one example would be using HostObject.getOwnPropertySymbols to obtain Symbol(nodejs.util.inspect.custom). This vulnerability is fixed in 3.11.0.