p PatchFirst

CVE-2026-92941

CVE-2026-92941 · vm2 3.11.3 before 3.11.7 TLS Trust Store Manipulation

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

vm2 versions from 3.11.3 before 3.11.7 expose the host tls module to NodeVM sandbox code, allowing attackers to call tls.setDefaultCACertificates() and replace process-wide certificate authorities. Attackers with access to allowed tls and url builtins can use URLSearchParams to create host-realm arrays and manipulate the TLS trust store, enabling subsequent host HTTPS clients to accept attacker-controlled certificates.

CVSS 10.0 · Критический · EPSS 0,3% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • vm2

    Версии
    • ≥ 3.11.3, < 3.11.7: Затронуто (semver)
    • 3.11.7: Не затронуто (semver)

    Обновитесь до 3.11.7

  • vm2 npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 3.11.3, < 3.11.7

    Обновитесь до 3.11.7

Первоисточники

Проверьте свой сервер →