CVE-2026-44006
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece vm2 dla Node.js umożliwia atakującemu ominięcie sandboksowania i dostęp do dowolnych prototypów obiektów. Problem został naprawiony w wersji 3.11.0.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do prototypów, co może prowadzić do eskalacji uprawnień i wykonania złośliwego kodu w środowisku Node.js.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę vm2 do wersji 3.11.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy rozważyć tymczasowe wyłączenie funkcji sandboksowania.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, It is possible to reach BaseHandler.getPrototypeOf, which can be used to get arbitrary prototypes. This vulnerability is fixed in 3.11.0.