Më 1 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-98xx-8mx4-x7cm (CVE-2026-92941) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën vm2 të ekosistemit npm.
Paketat e prekura
- vm2 (npm) — versionet e prekura:
>= 3.11.3, <= 3.11.6; versioni me rregullim:3.11.7
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-732 (Incorrect Permission Assignment for Critical Resource)
- Identifikuesit: GHSA-98xx-8mx4-x7cm, CVE-2026-92941
Përmbledhja zyrtare
vm2 NodeVM mund të zëvendësojë dyqanin e besimit TLS të procesit të hostit — Përmbledhja vm2 3.11.6 ekspozon modulin tls të hostit në një NodeVM kur ai i ndërtuar është i lejuar në mënyrë eksplicite. Megjithëse objekti i modulit është i mbështjellë si vetëm për lexim, funksionet e tij ende ekzekutohen kundër gjendjes pritëse në të gjithë procesin. Në versionet Node.js që ofrojnë tls.setDefaultCACertificates () , kodi i kutisë së rërës mund të zëvendësojë autoritetet e certifikatës të besuara nga klientët e mëvonshëm të TLS-së. Shfrytëzimi ka nevojë vetëm për tls dhe url të lejuara ngushtë. Nuk kërkon fs , proces, modul , child_process , një paketë të jashtme ose…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin vm2, përditësojeni sa më shpejt në versionin 3.11.7 ose më të ri.
