CVE-2026-47209

vm2, Node.js için açık kaynaklı bir vm/sandbox'tır. Versiyon 3.11.4 öncesinde, bridge.js dosyasındaki (satır 1231) BaseHandler.set tuzağı receiver parametresini yoksayar ve koşulsuz olarak ana bilgisayar hedef nesnesine yazma işlemi gerçekleştirir. Proxy set tuzağı spesifikasyonuna göre, receiver !== proxy olduğunda (örneğin, bir alt nesne Object.create aracılığıyla proxy'den miras aldığında), özellik ataması proxy hedefi üzerinde değil, receiver üzerinde kendi özelliğini oluşturmalıdır. Mevcut uygulama her zaman ana bilgisayar hedefine karşı otherReflectSet(object, key, value) fonksiyonunu çağırarak tüm miras alınan özellik yazımlarının ana bilgisayar nesnesine sızmasına neden olur. Bu hata, doğrudan set yolu üzerindeki gelecekteki herhangi bir per-trap isDangerousCrossRealmSymbol korumasını atlayarak, ana bilgisayar nesnelerine tehlikeli cross-realm Symbol anahtarlarının (örneğin, nodejs.util.promisify.custom) yazılması için alternatif bir saldırı vektörü sağlar. Bu sorun versiyon 3.11.4 ile düzeltilmiştir.