PT-2026-38388

CVE-2026-43997

Publicado

2026-05-01

Atualizado

2026-10-08

Descrição por

CVSS 3.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.0

Description Uma falha na biblioteca de sandbox do Node.js permite que o código isolado obtenha o Object do host. Isso ocorre devido ao gerenciamento incorreto da geração de código e proteções incompletas. Um invasor pode usar o Object do host para ignorar o isolamento e executar código arbitrário no sistema host. Um método de exploração envolve o uso de HostObject.getOwnPropertySymbols para obter Symbol(nodejs.util.inspect.custom).

Recommendations Atualize o vm2 para a versão 3.11.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

C0Rydoras

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-653: Improper Isolation or Compartmentalization