CVE-2026-92933
Təsvir
vm2 etibarsız Node.js kodlarını işlətmək üçün nəzərdə tutulmuş bir sandbox-dur. <= 3.11.7 versiyalarında NodeVM, host `util` modulunu sandbox-a filtrlənməmiş səthi surət kimi (`defaultBuiltinLoaderUtil`-də `Object.assign({}, util)`) təqdim edir və köhnəlmiş `sys` daxili modulu (host `util`-in ləqəbi) ümumi daxili yükləyici vasitəsilə açıq olur. Node.js >= 22.9 versiyasında bu, sandbox-dakı koda host prosesinin tam çağırış stekini, o cümlədən vm2 körpü daxilləri və tətbiqin giriş nöqtəsi üçün mütləq fayl yollarını, funksiya adlarını və sətir nömrələrini qaytaran proqramlaşdırıla bilən stek-introspeksiyası API-si olan `util.getCallSites()` funksiyasını verir. Bu, yalnız `Error.prepareStackTrace` formatlama kanallarına şamil olunan və GHSA-v27g-jcqj-v8rw üçün tətbiq edilmiş host-çərçivənin gizlədilməsi mexanizmini yan keçir. Problem vm2 3.11.8 versiyasında düzəldilib.
Necə düzəltmək olar
- vm23.11.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vm2npm | v < 3.11.8 | 3.11.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.