CVE-2026-47131
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.4, by combining Buffer.call.call({}.__lookupGetter__, Buffer, "__proto__"), Buffer.call.call({}.__lookupSetter__, Buffer, "__proto__"), and Node.js's ERR_INVALID_ARG_TYPE Error, the host's TypeError constructor can be obtained, which allows the escape from the sandbox. This allows attackers to run arbitrary code. This issue has been patched in version 3.11.4.
Ver en NVDAnálisis
La biblioteca vm2 para Node.js presenta una vulnerabilidad de severidad máxima que permite a un atacante escapar del sandbox y ejecutar código arbitrario directamente en el servidor host. Mediante la manipulación de constructores internos de Node.js, un usuario malintencionado puede tomar control total del sistema operativo donde corre el proceso. Se recomienda actualizar inmediatamente a la versión 3.11.4 para mitigar este riesgo de ejecución remota de código.
Roles relevantes
Severidad
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HCWE-913EPSS
Descripción técnica
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.4, by combining Buffer.call.call({}.__lookupGetter__, Buffer, "__proto__"), Buffer.call.call({}.__lookupSetter__, Buffer, "__proto__"), and Node.js's ERR_INVALID_ARG_TYPE Error, the host's TypeError constructor can be obtained, which allows the escape from the sandbox. This allows attackers to run arbitrary code. This issue has been patched in version 3.11.4.