CVE-2026-44007
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece vm2 dla Node.js umożliwia ominięcie konfiguracji require w NodeVM z włączonym zagnieżdżaniem (nesting: true). Kod piaskownicy może zażądać modułu vm2, utworzyć nową instancję NodeVM z nieograniczonym require i wykonać dowolne polecenia systemowe na hoście.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad hostem przez atakującego, który może uruchomić dowolny kod w piaskownicy z włączonym zagnieżdżaniem. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę vm2 do wersji 3.11.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, wyłącz opcję nesting: true w konfiguracji NodeVM.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.1, when a NodeVM is created with nesting: true, sandbox code can unconditionally require('vm2') regardless of the outer VM's require configuration — including require: false. With access to vm2, the sandbox constructs a new inner NodeVM with its own unrestricted require settings and executes arbitrary OS commands on the host. Any application that runs untrusted code inside a NodeVM with nesting: true is fully compromised. This vulnerability is fixed in 3.11.1.