PT-2026-38388 · Npm · Vm2
CVSS v3.1
10
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vm2 الأقدم من 3.11.0
الوصف
يسمح ثغرة في مكتبة «sandbox» الخاصة بـ Node.js للكود الموجود في بيئة الحماية (sandbox) بالحصول على كائن
Object الخاص بالمضيف. ويحدث ذلك بسبب إدارة غير صحيحة لتوليد الكود وحماية غير كاملة. يمكن للمهاجم استخدام كائن Object الخاص بالمضيف لتجاوز العزل وتنفيذ كود تعسفي على نظام المضيف. تتضمن إحدى طرق الاستغلال استخدام HostObject.getOwnPropertySymbols للحصول على Symbol(nodejs.util.inspect.custom).التوصيات
تحديث vm2 إلى الإصدار 3.11.0.
استغلال
إصلاح
Code Injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Vm2