CVE-2026-92961

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.6

Descrição A falha na aplicação do bufferAllocLimit nos construtores ArrayBuffer, SharedArrayBuffer e TypedArray permite que atacantes aloquem memória arbitrária do host. Embora a defesa bufferAllocLimit limite o Buffer.alloc, Buffer.allocUnsafe, Buffer.allocUnsafeSlow e new Buffer(N), ela não intercepta intrínsecos do V8, como Uint8Array ou Float64Array. Esses construtores utilizam o mesmo caminho de alocação C++ subjacente que o Buffer.alloc, mas ignoram o limite de tamanho, permitindo que um atacante esgote a memória do processo host e provoque condições de falta de memória (OOM). Isso pode resultar em uma negação de serviço completa, especialmente em ambientes com memória limitada, como contêineres Docker, pods Kubernetes e AWS Lambda.

Recomendações Atualize o vm2 para a versão 3.11.6 ou posterior. Como medida paliativa temporária, restrinja o uso dos construtores ArrayBuffer, SharedArrayBuffer e TypedArray dentro do sandbox até que a atualização seja aplicada.