CVE-2026-43999
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Podatność w vm2 przed wersją 3.11.0 pozwala na obejście listy dozwolonych modułów wbudowanych NodeVM. Gdy moduł 'builtin' jest dozwolony (nawet przez '*' wildcard), kod w sandboxie może użyć Module._load() do załadowania dowolnego modułu w kontekście hosta, omijając ograniczenia. Umożliwia to uruchomienie wykluczonych modułów, takich jak child_process, i zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może w pełni przejąć kontrolę nad serwerem Node.js, wykonując dowolny kod poza sandboxem, co prowadzi do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Niezwłocznie zaktualizuj vm2 do wersji 3.11.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz użycie modułu 'builtin' w konfiguracji NodeVM.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, NodeVM's builtin allowlist can be bypassed when the module builtin is allowed (including via the '*' wildcard). The module builtin exposes Node's Module._load(), which loads any module by name directly in the host context, completely bypassing vm2's builtin restriction. This allows sandboxed code to load excluded builtins like child_process and achieve remote code execution. This vulnerability is fixed in 3.11.0.