PT-2026-37337 · Npm · Vm2
Akshatgit
·
Publicado
2026-05-05
·
Atualizado
2026-06-04
·
CVE-2026-44007
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
vm2 versões anteriores a 3.11.1
Descrição
Quando um
NodeVM é criado com a variável nesting definida como true, o código do sandbox pode usar incondicionalmente require('vm2'), independentemente da configuração de require da VM externa, inclusive quando o require está definido como false. Isso ocorre porque a opção nesting: true interage com o resolvedor de módulos legado de uma forma que anula silenciosamente as restrições. Um invasor pode usar o acesso ao vm2 para construir um novo NodeVM interno com configurações de require irrestritas para executar comandos arbitrários do SO no host. Este problema afeta aplicações que executam código não confiável dentro de um NodeVM com nesting: true, como plataformas de execução de código multi-tenant, serviços de notebook/REPL, sistemas de plugins e ferramentas de sandboxing de CI.Recomendações
Atualize para a versão 3.11.1.
Como medida paliativa temporária, evite definir a variável
nesting como true ao executar código não confiável.Correção
Improper Access Control
Protection Mechanism Failure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Vm2