Zaloguj się
Deutsch English Español Polski
Krytyczna

vm2 vulnerable to Arbitrary Code Execution

  • Ujawniono: 21.12.2022
  • Aktualizacja: 11.10.2026 10:22

The package vm2 before 3.9.10 is vulnerable to Arbitrary Code Execution due to the usage of prototype lookup for the WeakMap.prototype.set method. Exploiting this vulnerability leads to access to a host object and a sandbox compromise.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm vm2 < 3.9.10 3.9.10

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-94
Platforma
npm
Paczka
vm2
Ujawniono
21.12.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4w2j-2rg4-5mjw - CC BY 4.0

Historia podatności: vm2

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (78) w archiwum
Wszystkich wpisów
78
Pierwsza → ostatnia
10.2021 10.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 51
  • Wysoka 14
  • Średnia 12
  • Niska 1

Ujawnienia w latach

Istotność:
  1. vm2 vulnerable to Arbitrary Code Execution ten wpis
    Krytyczna · 9.8 CVE-2022-25893 < 3.9.10 3.9.10
  2. vm2 contains a sandbox escape vulnerability
    Krytyczna · 10.0 CVE-2026-93605 < 3.12.1 3.12.1
  3. vm2: NodeVM custom resolution bypasses external path boundaries
    Krytyczna · 10.0 CVE-2026-100721 < 3.12.2 3.12.2
  4. vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process
    Wysoka · 8.6 CVE-2026-100722 < 3.12.2 3.12.2
  5. vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM
    Wysoka · 7.1 CVE-2026-92959 < 3.11.8 3.11.8
  6. vm2: Sandbox Escape (NodeVM)
    Krytyczna · 10.0 CVE-2026-92955 < 3.11.8 3.11.8
  7. vm2: Host-returned Promise rejection can bypass vm2's unhandled-rejection hardening and terminate the host process
    Krytyczna · 8.6 CVE-2026-92954 >= 3.10.0, < 3.11.8 3.11.8
  8. vm2: Default VM can mutate host TypedArray and ArrayBuffer intrinsics after the host-prototype pollution fix
    Krytyczna · 10.0 CVE-2026-92953 >= 3.11.0, < 3.11.8 3.11.8
  9. vm2 sandbox escape to host RCE via revisited host-wrapped AggregateError bypassing Error sanitization cycle short-circuit
    Krytyczna · 9.0 CVE-2026-92934 < 3.11.8 3.11.8
  10. vm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)
    Wysoka · 7.5 CVE-2026-92942 < 3.11.7 3.11.7
  11. vm2: NodeVM `require.external` without an explicit `require.root` grants unrestricted host filesystem access and full RCE
    Krytyczna · 10.0 CVE-2026-92946 < 3.11.7 3.11.7
  12. vm2: Sandboxed code can read and write host-realm memory via Node's shared Buffer pool
    Krytyczna · 10.0 CVE-2026-92947 < 3.11.7 3.11.7
  13. vm2 sandbox escape via WebAssembly.compileStreaming Promise species bypass
    Krytyczna · 10.0 CVE-2026-92956 >= 3.10.1, < 3.11.7 3.11.7
  14. vm2: NodeVM builtin allowlist bypass via node:test.run() execArgv allows sandbox escape
    Krytyczna · 9.9 CVE-2026-92948 >= 3.9.6, < 3.11.7 3.11.7
  15. vm2 CLI provides no sandbox isolation - host-realm require() is reachable from sandboxed scripts
    Wysoka · 8.6 CVE-2026-92950 < 3.11.7 3.11.7
  16. vm2 exposes host HTTPS credentials and TLS traffic through globalAgent
    Krytyczna · 10.0 CVE-2026-92940 >= 3.11.3, < 3.11.7 3.11.7
  17. vm2 Custom Module Resolver Can Bypass the External Package Allowlist by Loading a Colliding Host Package
    Krytyczna · 9.9 CVE-2026-92951 < 3.11.7 3.11.7
  18. vm2: NodeVM builtin denylist bypass via fs/promises despite -fs, allowing host filesystem writes
    Wysoka · 8.5 CVE-2026-92958 < 3.11.7 3.11.7
  19. vm2: NodeVM node:-prefixed negative builtin deny bypass exposes child_process
    Krytyczna · 9.9 CVE-2026-92957 < 3.11.7 3.11.7
  20. vm2: NodeVM nesting guard accepts array-shaped require and permits host RCE
    Krytyczna · 9.0 CVE-2026-92935 >= 3.11.4, < 3.11.7 3.11.7
  21. vm2: GHSA-m283-3h24-438v fix bypass leads to host RCE via call/apply indirection
    Krytyczna · 10.0 CVE-2026-92937 >= 3.11.6, < 3.11.7 3.11.7
  22. vm2 allows a sandboxed plugin to execute native code through `node:sqlite`
    Krytyczna · 9.9 CVE-2026-92938 >= 3.11.3, < 3.11.7 3.11.7
  23. vm2 crypto builtin loads attacker native code through setEngine
    Krytyczna · 9.9 CVE-2026-92939 >= 3.11.3, < 3.11.7 3.11.7
  24. vm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector
    Krytyczna · 9.8 CVE-2026-92944 >= 3.10.2, < 3.11.7 3.11.7
  25. vm2 NodeVM can replace the host process TLS trust store
    Krytyczna · 10.0 CVE-2026-92941 >= 3.11.3, < 3.11.7 3.11.7
  26. vm2 has Memory Exhaustion DoS via bufferAllocLimit Bypass
    Wysoka · 7.5 CVE-2026-92961 < 3.11.6 3.11.6
  27. vm2: NodeVM `builtin: ['*']` exposes `os` and `dns` — process-wide observability reads AND writes that hijack the host (sibling class of GHSA-9g8x-92q2-p28f)
    Krytyczna · 10.0 CVE-2026-92960 < 3.11.6 3.11.6
  28. vm2: Sandbox Breakout Using Dangerous Host Proto Mutators
    Krytyczna · 9.8 CVE-2026-47698 < 3.11.6 3.11.6
  29. VM2 has Missing Error.cause Sanitization that Enables Sandbox Escape to RCE
    Krytyczna · 9.9 CVE-2026-47686 < 3.11.6 3.11.6
  30. vm2's bufferAllocLimit cap bypassed by Buffer.concat and Buffer.from arrayLike
    Wysoka CVE-2026-47683 < 3.11.6 3.11.6
  31. NodeVM network builtin exclusions bypass via internal _http_client and _http_server
    Wysoka · 8.6 CVE-2026-47139 < 3.11.4 3.11.4
  32. NodeVM builtin denylist bypass via process and inspector/promises allows host code execution
    Krytyczna · 10.0 CVE-2026-47140 < 3.11.4 3.11.4
  33. vm2 sandbox escape via JSPI-backed Promise `.finally()` species bypass
    Krytyczna · 9.8 CVE-2026-47210 < 3.11.4 3.11.4
  34. vm2 has a CVE-2023-37903 patch bypass: nesting:true without explicit require still allows full RCE
    Krytyczna · 10.0 CVE-2026-47137 < 3.11.4 3.11.4
  35. vm2's Bridge Proxy set trap ignores receiver parameter, enabling host object property injection via prototype chain
    Wysoka · 8.6 CVE-2026-47209 < 3.11.4 3.11.4
  36. vm2 has a sandbox escape via unblocked cross-realm Symbol.for keys + missing bridge write-trap symbol checks
    Wysoka · 8.7 CVE-2026-47135 < 3.11.4 3.11.4
  37. vm2 is Vulnerable to Sandbox Breakout Through Promise Species
    Krytyczna · 10.0 CVE-2026-47208 < 3.11.4 3.11.4
  38. vm2 has a Sandbox Escape issue
    Krytyczna · 10.0 CVE-2026-47131 < 3.11.4 3.11.4
  39. vm2 Has a Sandbox Breakout Using Async Generator
    Krytyczna · 9.8 CVE-2026-45411 < 3.11.3 3.11.3
  40. vm2 has Sandbox Breakout Through Null Proto Exception
    Krytyczna · 9.8 CVE-2026-44009 < 3.11.2 3.11.2
  41. vm2 has sandbox breakout via `neutralizeArraySpeciesBatch`
    Krytyczna · 9.8 CVE-2026-44008 < 3.11.2 3.11.2
Pokaż więcej (20) Widać 41 z 65

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.