Më 1 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-h85j-hv3c-qfgq (CVE-2026-92940) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën vm2 të ekosistemit npm.
Paketat e prekura
- vm2 (npm) — versionet e prekura:
>= 3.11.3, <= 3.11.6; versioni me rregullim:3.11.7
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-668 (Exposure of Resource to Wrong Sphere)
- Identifikuesit: GHSA-h85j-hv3c-qfgq, CVE-2026-92940
Përmbledhja zyrtare
vm2 ekspozon kredencialet e hostit HTTPS dhe trafikun TLS përmes globalAgent — Përmbledhje vm2 3.11.6 ekspozon https.globalAgent të vërtetë të procesit të hostit kur një NodeVM lejohet shprehimisht të kërkojë https . Moduli është i mbështjellë si vetëm për lexim, por thirrjet për metodat në agjentin e përbashkët ende ndryshojnë objektin pritës. Kodi i kutisë së rërës mund të regjistrojë një dëgjues falas dhe të marrë opsionet e kërkesës së hostit dhe prizën TLS të hostit sa herë që një kërkesë HTTPS që nuk ka lidhje me hostin lëshon një lidhje të bashkuar. Në një test të përmbajtur, kodi i kutisë së rërës lejonte vetëm https builtin: – lexo hostin…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin vm2, përditësojeni sa më shpejt në versionin 3.11.7 ose më të ri.
