CVE-2026-93605

Kritik

Açıklama

3.12.1 öncesindeki vm2 NodeVM sürümleri, diğer ana bilgisayar başlatma modüllerini engellemesine rağmen DANGEROUS_BUILTINS kara listesinin child_process bileşenini atladığı bir sandbox kaçış zafiyeti içermektedir. Saldırganlar, NodeVM'in builtin:['*'] ile yapılandırıldığı veya açıkça child_process izni verildiği durumlarda child_process modülünü çağırabilir ve ana bilgisayar sistemi üzerinde rastgele komutlar çalıştırabilir.

ÖnemKritik

CVSS10.0

İstismar olasılığı—

ÜrünVm2

Yayın18 Eyl 2026

İlk görülme18 Eyl 2026

Zayıflık türüCWE-693CWE-693

Nasıl düzeltilir

Güncelleyin

vm23.12.1 ya da sonraki bir sürüm

Üretici duyuruları

github.com/patriksimek/vm2/security/advisories/GHSA-pq68-rvw4-xp4r

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
vm2npm	v < 3.12.1	3.12.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.