CVE-2026-93605
CVE-2026-93605 · vm2 NodeVM before 3.12.1 Remote Code Execution via child_process
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
vm2 NodeVM versions before 3.12.1 contain a sandbox escape vulnerability where the DANGEROUS_BUILTINS denylist omits child_process despite blocking other host-spawning modules. Attackers can require child_process and execute arbitrary commands on the host system when NodeVM is configured with builtin:['*'] or explicit child_process allowance.
CVSS 10.0 · Критический · EPSS 0,7% · Публичный эксплойт · Есть исправление
- Опубликовано
- Обновлено
Стек: node