Безопасность1 ч14 октября 2026, 04:00

vm2 3.11.7 закрыла шесть обходов песочницы NodeVM

В vm2 3.11.7 исправлены шесть уязвимостей, позволявших выйти из песочницы NodeVM при запуске недоверенного JavaScript в Node.js. Часть проблем зависит от версии рантайма: CVE-2026-92944 требует Node.js 26, CVE-2026-92948 — Node.js 24 и новее.

DEV Community

Открыть источник

vm2 3.11.7 закрыла шесть обходов песочницы NodeVM

CVE-2026-92957: запись -node:child_process в builtin не блокирует require('child_process')
CVE-2026-92958: запрет fs не покрывает fs/promises, давая запись файлов на хосте
CVE-2026-92941: песочница может подменить корневые сертификаты хоста через tls
CVE-2026-92951: allowlist с left-pad принимает evil-left-pad из-за неточного сравнения

#Vm2#Node.js

Ещё новости — в режиме свайпа🔥 Сейчас в свайпе: В офисе OpenAI нашли скрытый диктофон — и их же ИИ вычислил, кто его поставил

Безопасность

vm2 3.11.7 закрыла шесть обходов песочницы NodeVM

CVE-2026-92941: побег из песочницы vm2 с подменой TLS-хранилища

CVE-2026-92948: побег из песочницы vm2 через node:test с оценкой 9.9

CVE-2026-92951: побег из песочницы vm2 через обход списка пакетов

CVE-2026-92940: vm2 позволяет украсть токены и перехватить сокеты