CVE-2026-92941

Nome do Software Vulnerável e Versões Afetadas vm2 versões 3.11.3 até 3.11.6

Descrição O módulo tls do host é exposto ao código do sandbox NodeVM, permitindo que invasores chamem a função setDefaultCACertificates() e substituam as autoridades de certificação de todo o processo. Ao utilizar os builtins de tls e url permitidos, invasores podem usar URLSearchParams para criar arrays de realm do host e manipular o armazenamento de confiança TLS. Isso permite que clientes HTTPS do host subsequentes aceitem certificados controlados pelo invasor, resultando em uma fuga completa do sandbox.

Recomendações Atualize o vm2 para a versão 3.11.7 ou posterior.