CVE-2026-92938

vm2 3.11.3 ile 3.11.6 arasındaki sürümler, ilgili yerleşik modüle açıkça veya builtin: ['*'] aracılığıyla izin verildiğinde, Node.js'in ana makine node:sqlite modülünü NodeVM içinde çalışan koda ifşa etmektedir. Modül, özellik atamasını engelleyen ancak ana makine yetkili çağrılabilirlerin erişilebilir kalmasını sağlayan vm.readonly() ile sarmalanmıştır; ek olarak, çözücü 'node:' ile başlayan her isteği bir çekirdek modül isteği olarak değerlendirmekte ve çalışma zamanı yalnızca tek bir 'node:' önekini kaldırmaktadır, bu nedenle 'node:node:sqlite' için yapılan bir sandbox isteği yapılandırılmış node:sqlite girdisine çözümlenmektedir. Bu sayede, sandbox içindeki kod, uzantı yüklemesi etkinleştirilmiş bellek içi bir DatabaseSync oluşturabilir ve güvenilmeyen eklenti paketinde bulunan (yolu __dirname üzerinden türetilen) yerel bir kitaplık üzerinde DatabaseSync.loadExtension() fonksiyonunu çağırabilir. SQLite, kitaplığı Node.js ana makine işlemine yükler ve yerel giriş noktasını tetikler; bu durum, sandbox içindeki eklentinin sandbox dışında, ana makine işleminin ayrıcalıklarıyla rastgele yerel kod çalıştırmasına olanak tanır. Sorun vm2 3.11.7 sürümünde düzeltilmiştir.