p PatchFirst

CVE-2026-44008

CVE-2026-44008 · vm2: Snabox breakout via `neutralizeArraySpeciesBatch`

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.2, the new method neutralizeArraySpeciesBatch works with objects from the other side but can call into this side via getter on the array prototype exposing objects of the wrong side into the sandbox. This can be used to get host objects and get the host Function object. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This vulnerability is fixed in 3.11.2.

CVSS 9.8 · Kritisch · EPSS 0,9% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • vm2

    Softwareversionen
    • < 3.11.2: Betroffen

    Keine Korrektur veröffentlicht

  • vm2 npm

    Betroffene Versionsbereiche
    • SEMVER: < 3.11.2

    Auf 3.11.2 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →