CVE-2026-47141
Təsvir
vm2 Node.js üçün açıq mənbəli vm/sandbox-dur. Versiya 3.11.4-dən əvvəl, NodeVM, require.builtin vasitəsilə icazə verildikdə bəzi proses səviyyəli müşahidə daxili funksiyalarını (builtins) üzə çıxarır. diagnostics_channel, async_hooks və perf_hooks daxili funksiyaları təhlükəli daxili funksiyaların qara siyahısı tərəfindən bloklanmır. Bu modullar sandbox-lokal deyil, bütün prosesi əhatə edir. Sandbox-da olan kod onlardan istifadə edərək vm2 sərhədini aşan host tətbiqi məlumatlarını müşahidə edə bilər. Bu problem versiya 3.11.4-də aradan qaldırılmışdır.
Necə düzəltmək olar
- vm23.11.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vm2npm | v < 3.11.4 | 3.11.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.