CVE-2026-92957

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.7

Description O NodeVM não normaliza especificadores integrados prefixados com node: ao avaliar entradas negativas (de negação) em uma política de require wildcard. Embora o prefixo node: seja removido durante a resolução, as entradas de wildcard negativas são correspondidas por comparação exata de string com os nomes integrados canônicos. Consequentemente, uma política destinada a negar um módulo usando o prefixo node: falha em bloquear a versão canônica. Isso permite que o código em sandbox acesse o builtin child process do host via require('child process') ou require('node:child process'), fornecendo acesso a APIs de criação de processos como execSync() e spawn(), o que possibilita a execução de comandos no host.

Recommendations Atualizar para a versão 3.11.7.