CVE-2026-44005
Publiée le 2026-05-13 · Dernière modification le 2026-10-26
Les applications Node.js utilisant la bibliothèque de bac à sable `vm2` (versions 3.9.6 à 3.10.5) sont concernées. Un attaquant peut contourner l'isolation du bac à sable pour modifier des objets système fondamentaux, ce qui pourrait lui permettre d'exécuter du code arbitraire sur le serveur hôte. Cette vulnérabilité est facile à exploiter car elle ne nécessite ni authentification ni interaction de l'utilisateur et peut être déclenchée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
vm2 is an open source vm/sandbox for Node.js. From 3.9.6 to 3.10.5, vm2's bridge exposes mutable proxies for real host-realm intrinsic prototypes and then forwards sandbox writes into the underlying host objects with otherReflectSet() and otherReflectDefineProperty(), which lets attacker-controlled JavaScript running in a default VM or inherited NodeVM mutate shared host Object.prototype, Array.prototype, and Function.prototype from inside the sandbox This vulnerability is fixed in 3.11.0.