CVE-2026-92936

vm2 3.11.0 ile 3.11.6 arasındaki sürümler, hata yığını biçimlendirmesi aracılığıyla mutlak ana bilgisayar dosya sistemi yollarını kum havuzu içindeki koda sızdırmaktadır. Saldırgan tarafından sağlanan kod, ana bilgisayar alanı kaynak dönüştürücüsünü bir SyntaxError fırlatmaya zorlayabilir (örneğin hatalı kaynakla eval çağrısı yaparak) ve ardından hatanın .stack özelliğini okuyabilir; köprü, .stack okumasını ana bilgisayar alanı biçimlendiricisine ileterek GHSA-v27g-jcqj-v8rw için getirilen kum havuzu tarafındaki ana bilgisayar yolu gizlemesini atlar. Döndürülen yığın dizesi; vm2, Node.js dahili bileşenleri ve gömülü uygulamanın kendi kaynak ağacından gelen mutlak yolları, ana bilgisayar fonksiyon isimleriyle birlikte ifşa eder. Varsayılan new VM() ve new NodeVM() yapılandırmaları herhangi bir özel seçenek olmaksızın etkilenmektedir ve dize eval devre dışı bırakıldığında da sorun devam etmektedir çünkü ana bilgisayar tarafındaki dönüştürücü, eval işlenmeden önce hata fırlatır. Etki yalnızca bilgi ifşasıdır; herhangi bir kod çalıştırma gerçekleşmez. vm2 3.11.7 sürümünde düzeltilmiştir.