FICHE CVE

CVE-2023-29017

Publiée le 2023-04-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le bac à sable (sandbox) `vm2` de Node.js pour exécuter du code non fiable sont concernées. Un attaquant peut contourner les restrictions du bac à sable pour exécuter des commandes arbitraires directement sur le serveur hôte. Cette exploitation est simple à réaliser, car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur, et peut être déclenchée via le réseau.

CVSS 3.110.0 CRITIQUE

Type de faiblesse

CWE-913

Publiée2023-04-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

vm2 is a sandbox that can run untrusted code with whitelisted Node's built-in modules. Prior to version 3.9.15, vm2 was not properly handling host objects passed to `Error.prepareStackTrace` in case of unhandled async errors. A threat actor could bypass the sandbox protections to gain remote code execution rights on the host running the sandbox. This vulnerability was patched in the release of version 3.9.15 of vm2. There are no known workarounds.