Më 5 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-wjwh-qqvp-g4p4 (CVE-2026-92956) për një dobësi me rrezikshmëri kritike (CVSS 10.0) në paketën vm2 të ekosistemit npm.
Paketat e prekura
- vm2 (npm) — versionet e prekura:
>= 3.10.1, <= 3.11.6; versioni me rregullim:3.11.7
Detaje
- Rrezikshmëria: Kritike (CVSS 10.0)
- CWE: CWE-693 (Protection Mechanism Failure), CWE-913 (Improper Control of Dynamically-Managed Code Resources)
- Identifikuesit: GHSA-wjwh-qqvp-g4p4, CVE-2026-92956
Përmbledhja zyrtare
vm2 arratisja nga kutia e rërës nëpërmjet WebAssembly.compileStreaming Promise species bypass — Përmbledhje Ka një arratisje nga kutia e rërës në vm2 3.11.5 /KOKA aktuale kur përdoret në Node.js 26. Problemi mund të arrihet nga një kuti e re rëre VM() e paracaktuar. Nuk kërkohet NodeVM, nuk kërkohet leje, injektim i objektit të hostit ose konfigurim qëllimisht i pasigurt. Arratisja është një copë toke e të njëjtit invariant sigurie të adresuar nga GHSA-6j2x-vhqr-qr7q. Fix më parë hoqi pikat hyrëse të JSPI WebAssembly.promising dhe WebAssembly.Suspending, sepse ato API ekspozuan një shteg Premtimi, modeli i Premtimit të realitetit pritës të të cilit nuk ishte…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin vm2, përditësojeni sa më shpejt në versionin 3.11.7 ose më të ri.
