CVE-2026-47683
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
vm2 przed wersją 3.11.6 zawiera podatność, gdzie egzekwowanie limitu bufferAllocLimit nie obejmuje funkcji Buffer.concat(list, totalLength) ani Buffer.from(arrayLike) z kontrolowaną długością, co pozwala kodowi w sandboxie na duże synchroniczne alokacje pamięci poza limitem, mogące wyczerpać proces hosta.
Ocena ryzyka
Kod uruchamiany w sandboxie może spowodować wyczerpanie pamięci procesu, co może prowadzić do awarii usługi lub odmowy działania.
Rekomendacja
Zaleca się aktualizację vm2 do wersji 3.11.6, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, the bufferAllocLimit enforcement in lib/setup-sandbox.js does not cover Buffer.concat(list, totalLength) or Buffer.from(arrayLike) with an attacker-controlled length, allowing sandbox code to perform large synchronous host external-memory allocations that bypass the configured cap and can exhaust the host process. This issue is fixed in version 3.11.6.