FICHE CVE

CVE-2026-47208

Publiée le 2026-06-12 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications Node.js utilisant la bibliothèque de sandbox vm2 pour isoler du code non fiable sont concernées. Un attaquant peut s'échapper de la sandbox pour exécuter des commandes arbitraires directement sur votre serveur hôte avec un accès complet au système. Cela est hautement critique car l'attaque peut être déclenchée à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.110.0 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-06-12

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.4, VM2 suffers from a sandbox breakout vulnerability. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.11.4.