CVE-2026-92956
Açıklama
vm2 3.10.1 ile 3.11.6 arasındaki sürümler, Node.js 26 üzerinde çalışırken varsayılan bir `new VM()` sandbox'ından erişilebilen bir sandbox kaçış açığı içermektedir. WebAssembly.compileStreaming ve WebAssembly.instantiateStreaming, ana konak alanına (host-realm) ait bir hata nesnesiyle reddedilen ham bir konak alanı Promise'i üretebilir; Promise.prototype.finally aracılığıyla Symbol.species kontrol edilerek, sandbox kodu bu ham konak hatasını alır, konak hata oluşturucusundan konak Function oluşturucusuna ulaşır ve gerçek konak `process` nesnesini geri kazanarak, sandbox'ı çalıştıran işlem bağlamında konak Node.js yetenekleri (örneğin fs gibi konak modüllere erişim) elde eder. Herhangi bir NodeVM, require izni, konak nesne enjeksiyonu veya başka bir güvensiz yapılandırma gerekmemektedir. Bu durum, JSPI giriş noktaları olan WebAssembly.promising ve WebAssembly.Suspending'i kaldıran GHSA-6j2x-vhqr-qr7q düzeltmesinin baypas edilmesidir. Sorun 3.11.7 sürümünde giderilmiştir.
Nasıl düzeltilir
- vm23.11.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vm2npm | 3.10.1 ≤ v < 3.11.7 | 3.11.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.