PT-2026-45023
CVE-2026-47141
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-09-22
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vm2 الأقدم من 3.11.4
الوصف
يكشف NodeVM عن وظائف مدمجة خاصة بمراقبة العمليات على نطاق العملية بأكملها عندما يتم السماح بها عبر
require.builtin. وعلى وجه التحديد، لا يتم تضمين الوحدات النمطية diagnostics channel وasync hooks وperf hooks في قائمة الحظر الخاصة بالوظائف المدمجة الخطرة. ونظرًا لأن هذه الوحدات النمطية تعمل على مستوى العملية بأكملها بدلاً من أن تكون محلية في بيئة الحماية (sandbox)، يمكن للكود الموجود في بيئة الحماية استخدامها لمراقبة بيانات تطبيق المضيف عبر حدود vm2. قد يؤدي ذلك إلى الكشف عن حالة حساسة لعملية المضيف، مثل رؤوس طلبات HTTP (بما في ذلك Authorization أو رموز الجلسة) عبر diagnostics channel، وبيانات AsyncResource الخاصة بالمضيف عبر async hooks.executionAsyncResource()، وإدخالات الجدول الزمني لأداء المضيف عبر perf hooks.performance.getEntriesByType(’mark‘).التوصيات
قم بالتحديث إلى الإصدار 3.11.4.
كحل مؤقت، قم بتقييد استخدام المدمجات
diagnostics channel وasync hooks وperf hooks ضمن تكوين صندوق الحماية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾