CVE-2026-92948

vm2 versiyaları >= 3.9.6 və <= 3.11.6, Node.js 24 və daha yeni versiyalarda, tətbiqçi node:test daxili moduluna açıq şəkildə icazə verdikdə (məsələn, require: { builtin: ['node:test'] }), sandbox-dan çıxışa imkan verən NodeVM daxili ağ siyahısının (allowlist) yan keçilməsi zəifliyindən təsirlənir. Node.js 24+ versiyalarında module.builtinModules yalnız sxem əsaslı olan node:test açarını təqdim edir ki, bu da vm2-nin ailə əsaslı DANGEROUS_BUILTINS qoruması tərəfindən əhatə olunmur və buna görə də ümumi host-passthrough yükləyicisində saxlanılır. lib/setup-node-sandbox.js faylındakı requireImpl() funksiyası daxili modul axtarışından əvvəl tək bir 'node:' prefiksini sildiyi üçün, sandbox kodu daxilində çağırılan require('node:node:test') sorğusu saxlanılmış node:test açarına yönəlir və host moduluna oxunula bilən proksi əldə edir. node:test.run() çağırışları host tətbiqinə ötürülür, bu isə proses izolyasiyalı test icrası üçün ayrıca Node prosesi başladır və hücumçu tərəfindən idarə olunan execArgv dəyərlərini ötürür; beləliklə, --eval=<JavaScript> parametrinin təmin edilməsi, NodeVM sandbox-dan kənarda, məhdudiyyətsiz host Node prosesində ixtiyari JavaScript kodunun icrasına səbəb olur. Problem vm2 3.11.7 versiyasında düzəldilmişdir.