CVE-2026-47210
Açıklama
vm2, Node.js için açık kaynaklı bir vm/sandbox'tır. Versiyon 3.11.4 öncesinde, vm2'deki bir sandbox kaçış zafiyeti; WebAssembly JSPI (WebAssembly.promising / WebAssembly.Suspending) sunan çalışma zamanlarında güvenilmeyen kodlar async desteğiyle çalıştırıldığında, ana işlemde rastgele kod çalıştırılmasına izin verir. Test edilen konfigürasyonda, JSPI tabanlı bir Promise, beklenen Promise-species sıkılaştırmasını atlayacak şekilde Promise.prototype.finally() yöntemine ulaşabilir ve ana sistem kaynaklı bir red (rejection) nesnesini saldırgan kontrollü tür mantığına açarak sandbox sınırını ihlal eder. Bu sorun versiyon 3.11.4 ile düzeltilmiştir.
Nasıl düzeltilir
- vm23.11.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2npm | v < 3.11.4 | 3.11.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.