CVE-2026-92936

vm2 versiyaları 3.11.0-dan 3.11.6-ya qədər olan versiyalarda səhv stekinin formatlanması vasitəsilə host fayl sisteminin mütləq yolları qumcuya (sandbox) alınmış koda sızır. Hücumçu tərəfindən təqdim edilən kod host-realm mənbə transformatorunu SyntaxError xətası verməyə məcbur edə bilər (məsələn, yanlış formatlı mənbə ilə eval çağıraraq) və daha sonra xətanın .stack xüsusiyyətini oxuya bilər; körpü .stack oxumasını host-realm formatlayıcısına yönləndirərək, GHSA-v27g-jcqj-v8rw üçün tətbiq edilmiş qumcu tərəfli host-yolunun gizlədilməsi mexanizmini yan keçir. Qayıdan stek sətiri vm2, Node.js daxili strukturları və tətbiqin öz mənbə ağacından mütləq yolları, həmçinin host funksiya adlarını ifşa edir. Heç bir xüsusi seçim olmadan standart new VM() və new NodeVM() konfiqurasiyaları bu problemdən təsirlənir və string eval deaktiv edildikdə də problem qalmaqda davam edir, çünki host-tərəfli transformator eval emal edilməzdən əvvəl xəta verir. Təsir yalnız məlumatların ifşasıdır; heç bir kodun icrası baş vermir. vm2 3.11.7 versiyasında düzəldilmişdir.