CVE-2026-92945
CVE-2026-92945 · vm2 before 3.11.7 Module Allowlist Bypass via Prefix Matching
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
vm2 before 3.11.7 contains a module allowlist bypass vulnerability in isPathAllowedForModule that uses raw string prefix matching instead of boundary-anchored comparison. Attackers can reach non-allowlisted packages sharing a prefix with allowlisted modules by performing relative requires from allowlisted packages when transitive loading is disabled.
CVSS 2.3 · Baja · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node