CVE-2026-92949

Orta

Açıklama

3.9.6 ile 3.11.7 arasındaki vm2 sürümleri, dondurulmuş nesnelerdeki erişici özelliklere erişimi uygun şekilde kısıtlayamaz; bu durum, sandbox içindeki betiklerin vm.freeze() ve vm.readonly() korumalarını atlamasına olanak tanır. Saldırganlar, ana bilgisayar nesnesi setter'larını doğrudan çıkarmak ve çağırmak için Object.getOwnPropertyDescriptor() veya __lookupSetter__() yöntemlerini kullanarak, gömücü tarafından açıkça salt okunur olarak işaretlenmiş özellikleri değiştirebilirler.

ÖnemOrta

CVSS4.0

İstismar olasılığı—

ÜrünVm2

Yayın17 Eyl 2026

İlk görülme17 Eyl 2026

Zayıflık türüCWE-471CWE-471

Nasıl düzeltilir

Güncelleyin

vm23.11.7 ya da sonraki bir sürüm

Üretici duyuruları

github.com/patriksimek/vm2/security/advisories/GHSA-633r-hq9m-c4ff

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vm2npm	3.9.6 ≤ v < 3.11.7	3.11.7

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.