CVE-2026-100721

vm2 versiya 3.12.2-dən əvvəlki versiyalarda NodeVM external-module resolver hissəsində autentifikasiyadan yan keçmə zəifliyi mövcuddur. Embedder `require.external`-i xüsusi bir resolver (və `context: 'host'`) ilə konfiqurasiya etdikdə, lib/resolver-compat.js faylındakı `LegacyResolver.customResolve` həll edilmiş modul kataloqunu `this.externals`-da yol ayırıcısı və ya sətir sonu sərhədini tələb etmədən `new RegExp('^' + escapeRegExp(resolvedPath))` kimi qeyd edir. Buna görə də, etibarsız qonaq kodu ağ siyahıya alınmış modulu (məsələn, `foo`) çağıra və daha sonra yolu sadəcə həll edilmiş prefiksi paylaşan, lakin ağ siyahıda olmayan qonşu modulun mütləq yolunu (məsələn, `.../node_modules/foo2/index.js`) çağıra bilər; bu qonşu modul `isPathAllowedForModule` yoxlamasından keçir və `hostRequire` vasitəsilə yüklənir, beləliklə onun üst səviyyəli kodu eksportlar `vm.readonly` ilə bükülməzdən əvvəl host prosesində icra olunur ki, bu da sandbox-dan çıxışa və host kontekstində ixtiyari kodun icrasına gətirib çıxarır.