CVE-2026-100721

3.12.2 sürümünden önceki vm2, NodeVM external-module çözücüsünde bir kimlik doğrulama atlatma açığı içermektedir. Bir gömücü, `require.external` kısmını özel bir çözücüyle (ve `context: 'host'` ile) yapılandırdığında, lib/resolver-compat.js dosyasındaki `LegacyResolver.customResolve`, çözümlenen modül dizinini `this.externals` içinde bir yol ayırıcı veya dize sonu sınırı gerektirmeksizin `new RegExp('^' + escapeRegExp(resolvedPath))` şeklinde kaydeder. Bu nedenle, güvenilmeyen konuk kodu, izin verilen modülü (örneğin `foo`) çağırabilir ve ardından yolu yalnızca çözümlenmiş önekle eşleşen, izin verilmeyen kardeş bir modülün mutlak yolunu (örneğin `.../node_modules/foo2/index.js`) çağırabilir; kardeş modül `isPathAllowedForModule` kontrolünü geçer ve `hostRequire` aracılığıyla yüklenir, böylece üst düzey kodu dışa aktarımlar `vm.readonly` ile sarmalanmadan önce ana bilgisayar işleminde çalışır. Bu durum, sandbox kaçışına ve ana bilgisayar bağlamında rastgele kod çalıştırılmasına yol açar.