PT-2026-36848 · Npm · Vm2

Xmiliah · Publicado 2026-05-04 · Atualizado 2026-06-04 · CVE-2026-24781

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.0

Descrição o vm2 é um sandbox de código aberto para Node.js. Ocorre uma evasão de sandbox através da função inspect(), permitindo que invasores escrevam códigos que escapam do ambiente de sandbox e executem comandos arbitrários no sistema hospedeiro.

Recomendações Atualize para a versão 3.11.0. Como medida paliativa temporária, considere restringir o uso da função inspect() até que a atualização seja aplicada.

Correção

Code Injection

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-94

CWE-693

Identificadores relacionados

CVE-2026-24781

GHSA-V37H-5MFM-C47C

Produtos afetados

Vm2

Referências · 18

• https://github.com/patriksimek/vm2 · Nota
• https://github.com/patriksimek/vm2/commit/fd266d084e0a3322d0f71ba2a8dc4c96cd030228 · Correção
• https://github.com/patriksimek/vm2/security/advisories/GHSA-v37h-5mfm-c47c · Aviso do Fabricante
• https://github.com/patriksimek/vm2/commit/8d30d93213c1898b3e035298b89a814970dd1189 · Correção
• https://github.com/patriksimek/vm2/commit/bdd3d15e57bc4ec5e70365cd79f7cb0256e5f88c · Correção
• https://github.com/patriksimek/vm2/releases/tag/v3.11.0 · Nota
• https://twitter.com/lyrie_ai/status/2062399227565592923 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2051361293085409391 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-v37h-5mfm-c47c · Aviso do Fabricante
• https://t.me/cveNotify/162778 · Publicação no Telegram
• https://twitter.com/lyrie_ai/status/2053642631133979131 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2051362909003944102 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-24781 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2053642631897354504 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-24781 · Aviso do Fabricante