CVE-2026-43998
Açıklama
vm2, Node.js için açık kaynaklı bir vm/sandbox çözümüdür. 3.10.5 sürümünde, NodeVM'in require.root yol kısıtlaması dosya sistemi sembolik bağlantıları (symlink) kullanılarak atlatılabilir; bu durum, sandbox içindeki kodun ana makine bağlamında izin verilen kök dizinin dışındaki modülleri yüklemesine olanak tanır. Yol doğrulaması path.resolve() (sembolik bağlantıları çözmez) kullanırken, modül yükleme işleminin Node'un yerel require() fonksiyonunu (çözer) kullanması nedeniyle, bir saldırgan rastgele ana makine alanı modüllerini yükleyebilir ve uzaktan kod çalıştırma gerçekleştirebilir. Bu güvenlik açığı 3.11.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- vm23.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2_project vm2 | 3.10.5 | — |
| vm2npm | 3.10.5 ≤ v < 3.11.0 | 3.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.