PT-2026-45031 · Npm · Vm2

CVE-2026-47208 · Publicado 2026-05-29 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.4

Descrição Existe uma falha de escape de sandbox que permite a atacantes saírem do sandbox do VM2 e executarem comandos arbitrários no sistema host. O problema ocorre porque o construtor localPromise chama this.then(undefined, eater) sem chamar resetPromiseSpecies. Essa omissão permite que uma promessa personalizada forneça um método de rejeição customizado ao executor, permitindo que o atacante obtenha um erro bruto do host e escape do sandbox.

Recomendações Atualize para a versão 3.11.4.

Exploit

Correção

Enumeração de Fraquezas

CWE-913

Identificadores relacionados

CVE-2026-47208

GHSA-76W7-J9CQ-RX2J

Produtos afetados

Vm2

Referências · 14

• 🔥 https://github.com/patriksimek/vm2/security/advisories/GHSA-76w7-j9cq-rx2j · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/47xxx/CVE-2026-47208.json · Exploit
• https://github.com/patriksimek/vm2/releases/tag/v3.11.4 · Nota
• https://github.com/patriksimek/vm2/commit/a462655009669c3124ee39498121651597529ea8 · Nota
• https://github.com/patriksimek/vm2 · Nota
• https://twitter.com/HugoValters/status/2065782236994019568 · Publicação no Twitter
• https://twitter.com/KaitanSecurity/status/2067989547485392990 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2065493948672467151 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-47208 · Aviso do Fabricante
• https://twitter.com/SecAlertsCo/status/2060566568598143238 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-47208 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47208 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-76w7-j9cq-rx2j · Aviso do Fabricante
• https://twitter.com/DFIR_Lab/status/2065586287139069969 · Publicação no Twitter