PT-2026-39191 · Npm · Vm2

Xmiliah · Publicado 2026-05-08 · Atualizado 2026-06-04 · CVE-2026-44008

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas VM2 (versões afetadas não especificadas)

Descrição Uma evasão de sandbox permite que invasores executem comandos arbitrários no sistema host. O problema ocorre porque a função neutralizeArraySpeciesBatch() interage com objetos de um contexto externo e pode acionar um getter no protótipo do array, expondo objetos do host dentro da sandbox. Esse mecanismo permite que um invasor obtenha o objeto Function do host e realize a execução remota de código.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

BDU:2026-07027

CVE-2026-44008

GHSA-9QJ6-QJGG-37QQ

Produtos afetados

Vm2

Referências · 10

• https://github.com/patriksimek/vm2 · Nota
• https://github.com/patriksimek/vm2/security/advisories/GHSA-9qj6-qjgg-37qq · Aviso do Fabricante
• https://github.com/patriksimek/vm2/releases/tag/v3.11.2 · Nota
• https://twitter.com/lyrie_ai/status/2053887788072964173 · Publicação no Twitter
• https://twitter.com/DFIR_Lab/status/2059813235314831817 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-44008 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2026-07027 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44008 · Nota de Segurança
• https://twitter.com/dailycve/status/2052785790829109323 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-9qj6-qjgg-37qq · Aviso do Fabricante