CVE-2026-92933

vm2, güvenilmeyen Node.js kodlarını çalıştırmak için kullanılan bir sandbox'tır. <= 3.11.7 sürümlerinde, NodeVM ana makine `util` modülünü sandbox'a filtrelenmemiş sığ bir kopya olarak (`defaultBuiltinLoaderUtil` içinde `Object.assign({}, util)`) sunar ve kullanımdan kaldırılmış olan `sys` yerleşik modülü (ana makine `util` modülünün bir takma adı), genel yerleşik yükleyici aracılığıyla sunulur. Node.js >= 22.9 üzerinde bu durum, sandbox içindeki koda; vm2 köprü dahili bileşenleri ve gömülü uygulamanın giriş noktası için mutlak dosya yolları, fonksiyon adları ve satır numaraları dahil olmak üzere ana makine işleminin tam çağrı yığınını döndüren programatik bir yığın inceleme API'si olan `util.getCallSites()` erişimini sağlar. Bu durum, yalnızca `Error.prepareStackTrace` biçimlendirme kanalı için geçerli olan ve GHSA-v27g-jcqj-v8rw için getirilen ana makine çerçeve gizlemesini atlatır. Sorun vm2 3.11.8 sürümünde düzeltilmiştir.