CVE-2026-92938

vm2 versiyaları 3.11.3-dən 3.11.6-ya qədər olan versiyalarda, daxili modullara ya açıq şəkildə, ya da builtin: ['*'] vasitəsilə icazə verildikdə, Node.js-in host node:sqlite modulu NodeVM-də işləyən koda açıq olur. Modul vm.readonly() ilə əhatə olunub ki, bu da xüsusiyyətlərin təyin edilməsinin qarşısını alır, lakin host səlahiyyətli çağırıla bilən funksiyaların əlçatan qalmasına şərait yaradır; əlavə olaraq, resolver 'node:' ilə başlayan hər hansı sorğunu nüvə modul sorğusu kimi qəbul edir və runtime yalnız bir 'node:' prefiksini silir, buna görə də 'node:node:sqlite' üçün sandbox sorğusu konfiqurasiya edilmiş node:sqlite girişinə yönəlir. Beləliklə, sandbox-da olan kod genişlənmələrin yüklənməsi aktiv edilmiş yaddaşdaxili DatabaseSync yarada və etibarsız plagin paketində ( __dirname-dən törəmiş yol) yerləşən yerli kitabxana üzərində DatabaseSync.loadExtension() funksiyasını çağıra bilər. SQLite kitabxananı Node.js host prosesinə yükləyir və onun yerli giriş nöqtəsini çağırır ki, bu da sandbox-dakı plaginə host prosesinin imtiyazları ilə sandbox-dan kənarda ixtiyari yerli kodun icrasını təmin edir. Problem vm2 3.11.7 versiyasında düzəldilib.