CVE-2026-47135
Təsvir
vm2 Node.js üçün açıq mənbəli VM/sandbox-dur. Versiya 3.11.4-dən əvvəl, setup-sandbox.js faylındakı Symbol.for override funksiyası təhlükəli olan 9 Node.js cross-realm simvolundan yalnız 2-sini tutur. Bridge-in set/defineProperty/deleteProperty trap-lərində isDangerousCrossRealmSymbol açarının yoxlamasının olmaması ilə birlikdə, sandbox kodu real cross-realm simvollarını əldə edə, onları host obyektlərinə yaza və host tərəfli davranışı idarə edə bilər — bu, tam util.promisify hijack zənciri ilə təsdiqlənmişdir. Bu problem versiya 3.11.4-də aradan qaldırılmışdır.
Necə düzəltmək olar
- vm23.11.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vm2npm | v < 3.11.4 | 3.11.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.