CVE-2026-43998
Təsvir
vm2 Node.js üçün açıq mənbəli vm/sandbox-dur. 3.10.5 versiyasında NodeVM-in require.root yol məhdudiyyətini fayl sistemi simvolik keçidləri (symlink) vasitəsilə yan keçmək mümkündür ki, bu da sandbox daxilindəki koda host kontekstində icazə verilmiş kök kataloqundan kənarda olan modulları yükləməyə imkan verir. Yol təsdiqləməsi path.resolve()-dən (hansı ki, simvolik keçidləri izləmir) istifadə etdiyi, lakin modul yükləməsi Node-un yerli require()-dan (hansı ki, bunu edir) istifadə etdiyi üçün hücumçu ixtiyari host-realm modullarını yükləyə və uzaqdan kodun icrasını həyata keçirə bilər. Bu zəiflik 3.11.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vm23.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vm2_project vm2 | 3.10.5 | — |
| vm2npm | 3.10.5 ≤ v < 3.11.0 | 3.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.