Oran-S

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.11.0 a 3.11.6 **Descrição** Caminhos absolutos do sistema de arquivos do host são vazados para o código em sandbox através da formatação da pilha de erros. Um invasor pode forçar o transformador de origem do reino do host a lançar um `SyntaxError` ao chamar `eval` com código malformado e, posteriormente, ler a propriedade `.stack` do erro. A ponte encaminha essa leitura para o formatador do reino do host, ignorando a redação de caminhos do host. Isso resulta na divulgação de caminhos absolutos do software, internos do Node.js e da árvore de origem da aplicação incorporada, além de nomes de funções do host. Este problema afeta as configurações padrão de `new VM()` e `new NodeVM()` e persiste mesmo se o eval de string estiver desativado. O impacto é limitado à divulgação de informações. **Recomendações** Atualizar para a versão 3.11.7.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.9.6 até 3.11.6 **Descrição** A restrição insuficiente de acesso a propriedades de acesso em objetos congelados permite que scripts em sandbox ignorem as proteções fornecidas por `vm.freeze()` e `vm.readonly()`. Atacantes podem utilizar `Object.getOwnPropertyDescriptor()` ou ` lookupSetter ()` para extrair e invocar definidores (setters) de objetos anfitriões diretamente, permitindo a mutação de propriedades que foram explicitamente marcadas como somente leitura pelo incorporador. **Recomendações** Atualize o vm2 para a versão 3.11.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vLLM versões anteriores a 0.28.0 **Description** Clientes autenticados podem ignorar as verificações de duração no endpoint de transcrição porque o sistema falha ao validar os cabeçalhos de taxa de amostragem de áudio. Ao enviar cabeçalhos FLAC forjados com taxas de amostragem infladas, um invasor pode desencadear uma alocação excessiva de memória, resultando no travamento do processo do servidor de API que afeta todos os locatários. **Recommendations** Atualize para a versão 0.28.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versão 3.11.6 **Description** Uma fuga de sandbox permite a execução remota de código no processo host Node.js. O problema ocorre porque o bridge gate em `lib/bridge.js:1624` realiza verificações de identidade apenas no alvo da chamada direta ao decidir se deve sanitizar um valor de Promise do host rejeitado. Ao registrar um manipulador de rejeição através de indireção por `Function.prototype.call` ou `.apply`, o sanitizador é ignorado, permitindo que erros brutos do host alcancem o código da sandbox. Se uma Promise do realm do host for exposta à sandbox e for rejeitada com um Erro contendo uma propriedade própria não primitiva que referencie um objeto do host, código não confiável pode obter um proxy para esse objeto do host e executar comandos arbitrários com privilégios do processo host. **Recommendations** Atualize o vm2 para a versão 3.11.7.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões anteriores a 3.11.7 **Description** Existe uma fuga de sandbox na ferramenta CLI que permite a execução de código arbitrário no processo host do Node.js. Um invasor pode fornecer um arquivo de script malicioso para a CLI que utiliza `require( filename)` para reexecutá-lo no reino do host. Esta ação ignora o isolamento da sandbox, concedendo acesso não autorizado a módulos do host, como `fs` e `child process`. **Recommendations** Atualize o vm2 para a versão 3.11.7 ou posterior.