CVE-2026-92938

Nome do Software Vulnerável e Versões Afetadas vm2 versões 3.11.3 through 3.11.6

Description Quando a configuração builtin: ['*'] ou permissão explícita é concedida, o módulo host node:sqlite é exposto ao código executado no NodeVM. Embora o módulo seja envolvido por vm.readonly() para evitar a atribuição de propriedades, as funções chamáveis de autoridade do host permanecem acessíveis. Uma falha no resolver permite que uma solicitação para node:node:sqlite seja resolvida para a entrada node:sqlite, pois o runtime remove apenas um prefixo node:. Isso permite que o código no sandbox crie um DatabaseSync em memória com o carregamento de extensões habilitado e execute DatabaseSync.loadExtension() em uma biblioteca nativa. Consequentemente, a biblioteca é carregada no processo host do Node.js, permitindo a execução de código nativo arbitrário com os privilégios do processo host.

Recommendations Atualizar para a versão 3.11.7.