CVE-2026-92939

vm2 3.11.3 ile 3.11.6 arasındaki sürümler, crypto yerleşik modülüne izin verildiğinde ana makine Node.js crypto modülünü bir NodeVM sandbox ortamına açmaktadır. Modül, özyinelemeli salt okunur bir proxy aracılığıyla sunulsa da çağrılabilir dışa aktarımları hala ana işlem yetkisiyle çalıştırılmaktadır. Bu nedenle, sandbox içindeki JavaScript, saldırgan tarafından sağlanan yerel bir kütüphaneye giden bir dosya sistemi yoluyla (örneğin, diske önceden yazılmış güvenilmeyen bir eklenti paketinde bulunan) crypto.setEngine() fonksiyonunu çağırabilir; OpenSSL, işletim sistemi dinamik yükleyicisinden dosyayı yüklemesini ister ve kütüphane yapılandırıcısı, motor sembol doğrulaması işlemi reddetmeden önce ana işlemde yerel kodu yürütür. İstismar için yalnızca crypto yerleşik modülü gereklidir; fs, process, module, child_process, worker_threads, vm veya inspector erişimi gerekmez, bu da sandbox kaçışına ve rastgele yerel kod yürütülmesine yol açar. 3.11.7 sürümünde düzeltilmiştir.