CVE-2026-43999
Açıklama
vm2, Node.js için açık kaynaklı bir vm/sandbox çözümüdür. 3.11.0 sürümünden önce, builtin modülüne izin verildiğinde ( '*' joker karakteri dahil), NodeVM'in yerleşik izin listesi (allowlist) atlatılabilir. Builtin modülü, herhangi bir modülü doğrudan ana bilgisayar bağlamında adıyla yükleyen ve vm2'nin yerleşik kısıtlamalarını tamamen devre dışı bırakan Node'un Module._load() fonksiyonunu açığa çıkarır. Bu durum, sandbox içindeki kodun child_process gibi hariç tutulmuş yerleşik modülleri yüklemesine ve uzaktan kod çalıştırma gerçekleştirmesine olanak tanır. Bu güvenlik açığı 3.11.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- vm2_project vm23.11.0 ya da sonraki bir sürüm
- vm23.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2_project vm2 | v < 3.11.0 | 3.11.0 |
| vm2npm | 3.10.5 ≤ v < 3.11.0 | 3.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.