FICHE CVE

CVE-2026-47698

Publiée le 2026-08-17 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les applications Node.js utilisant la bibliothèque de bac à sable `vm2` dans des versions antérieures à la 3.11.6 sont concernées. Un attaquant peut contourner les restrictions du bac à sable pour exécuter des commandes arbitraires sur le système hôte, prenant ainsi le contrôle total du serveur. Cette action peut être réalisée à distance, sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-08-17

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.6, lib/bridge.js and lib/setup-sandbox.js fail to block stacked indirection through Function.prototype.call around dangerous host prototype getter and setter mutators, allowing sandbox code to sever a host intrinsic's prototype chain and reach e.constructor.constructor for arbitrary host command execution. This issue is fixed in version 3.11.6.