CVE-2026-43999

إصدارات vm2 الأقدم من 3.11.0

يمكن تجاوز قائمة السماح المدمجة في NodeVM عندما يُسمح باستخدام الأمر المدمج module، بما في ذلك عند استخدام حرف البدل *. يعرض الأمر المدمج module دالة Module. load() في Node، والتي تقوم بتحميل أي وحدة نمطية بالاسم مباشرةً في سياق المضيف، متجاوزةً القيود تمامًا. وهذا يسمح للكود الموجود في بيئة الحماية (sandbox) بتحميل الأوامر المدمجة المستبعدة، مثل child process، مما يؤدي إلى تنفيذ كود عن بُعد على نظام المضيف.

قم بالتحديث إلى الإصدار 3.11.0.

كحل مؤقت، استبعد الأداة المدمجة module صراحةً من تكوين قائمة السماح لمنع الكود الموجود في بيئة الحماية (sandbox) من الوصول إلى Module. load().