CVE-2026-47209

vm2 Node.js üçün açıq mənbəli vm/sandbox-dur. Versiya 3.11.4-dən əvvəl, bridge.js faylındakı (sətir 1231) BaseHandler.set tələsi receiver parametrini nəzərə almır və şərtsiz olaraq host hədəf obyektinə yazma əməliyyatı həyata keçirir. Proxy set tələsinin spesifikasiyasına əsasən, receiver !== proxy olduqda (məsələn, alt obyekt Object.create vasitəsilə proxydan miras aldıqda), xüsusiyyətin təyin edilməsi proxy hədəfində deyil, receiver üzərində öz xüsusiyyətini yaratmalıdır. Mövcud tətbiq həmişə host hədəfinə qarşı otherReflectSet(object, key, value) funksiyasını çağırır ki, bu da bütün miras alınan xüsusiyyət yazmalarının host obyektinə sızmasına səbəb olur. Bu xəta, birbaşa set yolundakı gələcək istənilən per-trap isDangerousCrossRealmSymbol mühafizəsini yan keçərək, host obyektlərinə təhlükəli cross-realm Symbol açarlarını (məsələn, nodejs.util.promisify.custom) yazmaq üçün alternativ hücum vektoru təmin edir. Bu problem versiya 3.11.4-də aradan qaldırılmışdır.