p PatchFirst

CVE-2026-92949

CVE-2026-92949 · vm2 3.9.6 before 3.11.7 Sandbox Bypass via Accessor Descriptor

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

vm2 versions from 3.9.6 before 3.11.7 fail to properly restrict access to accessor properties on frozen objects, allowing sandboxed scripts to bypass vm.freeze() and vm.readonly() protections. Attackers can use Object.getOwnPropertyDescriptor() or __lookupSetter__() to extract and invoke host object setters directly, mutating properties the embedder explicitly marked read-only.

CVSS 6.3 · Media · EPSS 0,3% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • vm2

    Versiones
    • ≥ 3.9.6, < 3.11.7: Afectada (semver)
    • 3.11.7: No afectada (semver)

    Actualiza a 3.11.7

  • vm2 npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 3.9.6, < 3.11.7

    Actualiza a 3.11.7

Fuentes originales

Comprueba tu servidor →