CVE-2026-44007
Açıklama
vm2, Node.js için açık kaynaklı bir vm/sandbox çözümüdür. 3.11.1 sürümünden önce, bir NodeVM nesting: true ile oluşturulduğunda, dış VM'in require yapılandırması (require: false dahil) ne olursa olsun, sandbox kodu koşulsuz olarak require('vm2') işlemini gerçekleştirebilir. vm2 erişimiyle sandbox, kendi kısıtlanmamış require ayarlarına sahip yeni bir iç NodeVM oluşturur ve ana makinede rastgele OS komutları çalıştırır. Güvenilmeyen kodları nesting: true ile bir NodeVM içinde çalıştıran tüm uygulamalar tamamen ele geçirilebilir. Bu güvenlik açığı 3.11.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- vm2_project vm23.11.1 ya da sonraki bir sürüm
- vm23.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2_project vm2 | v < 3.11.1 | 3.11.1 |
| vm2npm | v < 3.11.1, v ≤ 3.11.0 | 3.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.