FICHE CVE

CVE-2026-47131

Publiée le 2026-06-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications utilisant le bac à sable `vm2` pour Node.js sont concernées. Un attaquant peut contourner les restrictions du bac à sable pour exécuter du code arbitraire directement sur le système hôte. Cette exploitation est facile à réaliser via un réseau et ne nécessite ni authentification ni interaction de l'utilisateur.

CVSS 3.110.0 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-06-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.4, by combining Buffer.call.call({}.__lookupGetter__, Buffer, "__proto__"), Buffer.call.call({}.__lookupSetter__, Buffer, "__proto__"), and Node.js's ERR_INVALID_ARG_TYPE Error, the host's TypeError constructor can be obtained, which allows the escape from the sandbox. This allows attackers to run arbitrary code. This issue has been patched in version 3.11.4.