CVE-2026-47141
Açıklama
vm2, Node.js için açık kaynaklı bir vm/sandbox'tır. Versiyon 3.11.4 öncesinde NodeVM, require.builtin aracılığıyla izin verildiğinde bazı süreç genelindeki gözlemlenebilirlik yerleşiklerini açığa çıkarmaktadır. diagnostics_channel, async_hooks ve perf_hooks yerleşik modülleri, tehlikeli yerleşik kara listesi tarafından engellenmemektedir. Bu modüller sandbox-yerel değil, süreç genelindedir. Sandbox içindeki kodlar, bunları vm2 sınırları boyunca ana uygulama verilerini gözlemlemek için kullanabilir. Bu sorun versiyon 3.11.4 ile düzeltilmiştir.
Nasıl düzeltilir
- vm23.11.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2npm | v < 3.11.4 | 3.11.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.