Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-pq68-rvw4-xp4r (CVE-2026-93605) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën vm2 të ekosistemit npm.
Paketat e prekura
- vm2 (npm) — versionet e prekura:
<= 3.12.0; versioni me rregullim:3.12.1
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-693 (Protection Mechanism Failure), CWE-913 (Improper Control of Dynamically-Managed Code Resources)
- Identifikuesit: GHSA-pq68-rvw4-xp4r, CVE-2026-93605
Përmbledhja zyrtare
vm2 përmban një cenueshmëri të arratisjes nga kutia e rërës — versionet vm2 NodeVM para 3.12.1 përmbajnë një cenueshmëri të arratisjes nga kutia e rërës ku denilisti i RREZIKSHËM_BUILTINS lë jashtë procesin child_pavarësisht bllokimit të moduleve të tjera të pritësit. Sulmuesit mund të kërkojnë child_process dhe të ekzekutojnë komanda arbitrare në sistemin pritës kur NodeVM konfigurohet me:['*'] ose leje eksplicite child_process. Kjo pirun ngurtëson NodeVM me një denilist të RREZIKSHËM_BUILTINS që bllokon modulet kryesore të arritjes së kodit të hostit edhe kur kutia e rërës kërkon të ndërtohet:['*'] ose i emërton ato në mënyrë eksplicite — lista përmban modul , worker_threads , cluster , vm , repl …
Çfarë duhet të bëni
Nëse projektet tuaja përdorin vm2, përditësojeni sa më shpejt në versionin 3.12.1 ose më të ri.
