p PatchFirst

CVE-2026-92949

CVE-2026-92949 · vm2 3.9.6 before 3.11.7 Sandbox Bypass via Accessor Descriptor

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

vm2 versions from 3.9.6 before 3.11.7 fail to properly restrict access to accessor properties on frozen objects, allowing sandboxed scripts to bypass vm.freeze() and vm.readonly() protections. Attackers can use Object.getOwnPropertyDescriptor() or __lookupSetter__() to extract and invoke host object setters directly, mutating properties the embedder explicitly marked read-only.

CVSS 6.3 · Средний · EPSS 0,3% · Публичный эксплойт · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • vm2

    Версии
    • ≥ 3.9.6, < 3.11.7: Затронуто (semver)
    • 3.11.7: Не затронуто (semver)

    Обновитесь до 3.11.7

  • vm2 npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 3.9.6, < 3.11.7

    Обновитесь до 3.11.7

Первоисточники

Проверьте свой сервер →