CVE-2026-44002
Təsvir
vm2 Node.js üçün açıq mənbəli vm/sandbox-dur. 3.11.0 versiyasından əvvəl vm2-nin CallSite wrapper klası (V8-in yerli CallSite-ı üçün təhlükəsiz wrapper kimi nəzərdə tutulub) host obyektinin sızmasının qarşısını almaq üçün getThis() və getFunction() funksiyalarını bloklayır, lakin getFileName()-in təmizlənməmiş host mütləq yollarını qaytarmasına icazə verir. Hər hansı sandbox daxilindəki kod host serverin tam kataloq strukturunu, kitabxana yollarını və freymvork versiyalarını çıxara bilər. Bu zəiflik 3.11.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vm2_project vm23.11.0 və ya daha yeni versiya
- vm23.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vm2_project vm2 | v < 3.11.0 | 3.11.0 |
| vm2npm | v < 3.11.0 | 3.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.