CVE-2026-47141

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.4

Description O NodeVM expõe builtins de observabilidade de todo o processo quando estes são permitidos via require.builtin. Especificamente, os módulos diagnostics channel, async hooks e perf hooks não estão incluídos na lista de negação de builtins perigosos. Como esses módulos operam em nível de processo e não são locais ao sandbox, o código sandboxed pode utilizá-los para observar dados da aplicação hospedeira através da fronteira do vm2. Isso pode levar à exposição de estados sensíveis do processo hospedeiro, como cabeçalhos de requisição HTTP (incluindo Authorization ou tokens de sessão) via diagnostics channel, dados de AsyncResource do hospedeiro via async hooks.executionAsyncResource() e entradas de linha do tempo de desempenho do hospedeiro via perf hooks.performance.getEntriesByType('mark').

Recommendations Atualize para a versão 3.11.4. Como medida paliativa temporária, restrinja o uso dos builtins diagnostics channel, async hooks e perf hooks na configuração do sandbox.