PT-2026-36847 · Npm · Vm2

Xmiliah · Publicado 2026-05-01 · Atualizado 2026-06-04 · CVE-2026-24120

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.10.5

Descrição Uma correção insuficiente na implementação do sandbox permite que invasores ignorem as restrições de segurança, possibilitando a evasão do sandbox VM2 e a execução de comandos arbitrários no sistema host. Isso ocorre porque a função resetPromiseSpecies(), destinada a redefinir a propriedade species de objetos de promessa, depende de [].includes e Object.defineProperty. Essas funções podem ser sobrescritas para impedir que a propriedade seja alterada, levando à execução remota de código caso um invasor consiga executar código arbitrário dentro do contexto do sandbox.

Recomendações Atualizar para a versão 3.10.5.

Exploit

Correção

Code Injection

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-94

CWE-693

Identificadores relacionados

BDU:2026-06464

CVE-2026-24120

GHSA-QVJJ-29QF-HP7P

Produtos afetados

Vm2

Referências · 15

• 🔥 https://github.com/patriksimek/vm2/security/advisories/GHSA-qvjj-29qf-hp7p · Exploit
• https://github.com/patriksimek/vm2 · Nota
• https://github.com/patriksimek/vm2/security/advisories/GHSA-cchq-frgv-rjh5 · Nota
• https://github.com/patriksimek/vm2/releases/tag/v3.10.5 · Nota
• https://twitter.com/lyrie_ai/status/2053409240174186724 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qvjj-29qf-hp7p · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2051362910597685378 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-06464 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2062399227565592923 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-24120 · Nota de Segurança
• https://twitter.com/so_sthbryan/status/2053910007159337110 · Publicação no Twitter
• https://t.me/cveNotify/162777 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2051361294456901951 · Publicação no Twitter
• https://t.me/cveNotify/162541 · Publicação no Telegram
• https://twitter.com/lyrie_ai/status/2062399228505116796 · Publicação no Twitter