p PatchFirst

CVE-2026-92949

CVE-2026-92949 · vm2 3.9.6 before 3.11.7 Sandbox Bypass via Accessor Descriptor

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

vm2 versions from 3.9.6 before 3.11.7 fail to properly restrict access to accessor properties on frozen objects, allowing sandboxed scripts to bypass vm.freeze() and vm.readonly() protections. Attackers can use Object.getOwnPropertyDescriptor() or __lookupSetter__() to extract and invoke host object setters directly, mutating properties the embedder explicitly marked read-only.

CVSS 6.3 · Moyenne · EPSS 0,3% · Code d’exploitation public · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • vm2

    Versions du logiciel
    • ≥ 3.9.6, < 3.11.7: Concernée (semver)
    • 3.11.7: Non concernée (semver)

    Mettez à jour vers 3.11.7

  • vm2 npm

    Plages de versions concernées
    • SEMVER: ≥ 3.9.6, < 3.11.7

    Mettez à jour vers 3.11.7

Sources originales

Vérifiez votre serveur →