CVE-2026-44007

إصدارات vm2 الأقدم من 3.11.1

عند إنشاء NodeVM مع تعيين المتغير nesting إلى true، يمكن لرمز الصندوق الرملي (sandbox) استخدام require(’vm2‘) دون قيد أو شرط، بغض النظر عن تكوين require في الآلة الافتراضية الخارجية، بما في ذلك عندما يكون require مضبوطًا على false. يحدث هذا لأن الخيار nesting: true يتفاعل مع محلل الوحدات النمطية القديم بطريقة تتجاوز القيود بصمت. يمكن للمهاجم الاستفادة من الوصول إلى vm2 لإنشاء NodeVM داخلي جديد بإعدادات require غير مقيدة لتنفيذ أوامر تعسفية لنظام التشغيل على المضيف. تؤثر هذه المشكلة على التطبيقات التي تُشغّل كودًا غير موثوق به داخل NodeVM مع nesting: true، مثل منصات تنفيذ الكود متعددة المستأجرين، وخدمات الدفاتر/REPL، وأنظمة المكونات الإضافية، وأدوات عزل CI.

قم بالتحديث إلى الإصدار 3.11.1.

كحل مؤقت، تجنب تعيين المتغير nesting إلى true عند تشغيل كود غير موثوق به.