Skip to content
OpenAdvisories
Critical WID-SEC-2026-3189 4 CVEs

vm2: Mehrere Schwachstellen ermöglichen Codeausführung

Published Sep 3, 2026 · Updated Oct 27, 2026 · Revision 5 · de-DE

Vendor: Red Hat Product: Enterprise Linux Platform: Linux Platform: macOS Platform: Windows

Summary

Ein Angreifer kann mehrere Schwachstellen in vm2 ausnutzen, um beliebigen Programmcode auszuführen und um die Integrität zu gefähren.

Product

vm2 ist eine Sandbox, in der nicht vertrauenswürdiger Code der in Node integrierten Module ausgeführt werden kann.

Vulnerabilities 4

  • Critical 10.0
    CVE-2026-93603

    vm2 before 3.12.1 Sandbox Escape RCE via Non-Strict Host Function

    vm2 through 3.12.0 (fixed in 3.12.1) does not correctly handle a nullish `this` receiver in the apply trap of its bridge (lib/bridge.js): when sandboxed code calls a host-provided non-strict (sloppy-mode) function without a receiver — e.g. `fn()`, a detached …

    patriksimek vm2
  • Critical 10.0
    CVE-2026-93605

    vm2 NodeVM before 3.12.1 Remote Code Execution via child_process

    vm2 NodeVM versions before 3.12.1 contain a sandbox escape vulnerability where the DANGEROUS_BUILTINS denylist omits child_process despite blocking other host-spawning modules. Attackers can require child_process and execute arbitrary commands on the host sys…

    patriksimek vm2 vm2 npm
  • Critical 10.0
    CVE-2026-93606

    vm2 before 3.12.1 Sandbox Escape via Promise Symbol.species

    vm2 (npm) versions 3.12.0 and earlier contain a sandbox escape in `VM` and `NodeVM`. When an embedder exposes a host API that returns a host-realm Promise, the bridge's rejection sanitizer (hostPromiseSanitizeReject / makeSanitizedPromiseCallback / normalizeH…

    patriksimek vm2
  • High 7.2
    CVE-2026-93604

    vm2 3.11.8 Sandbox Escape via crypto.setFips

    vm2 through 3.12.0 exposes Node.js's crypto.setFips() function to untrusted guest code when an embedder explicitly allowlists the crypto builtin for a NodeVM (require.builtin: ['crypto']). The builtin sanitizer (sanitizeCryptoModule in lib/builtin.js) replace…

    patriksimek vm2

Revision history

  1. #5

    Neue Updates von Red Hat aufgenommen

  2. #4

    Neue Updates von Red Hat aufgenommen

  3. #3

    Neue Updates von Red Hat aufgenommen

  4. #2

    Referenz(en) aufgenommen: CVE-2026-93604, EUVD-2026-82899, CVE-2026-93603, EUVD-2026-82898, CVE-2026-93605, EUVD-2026-82900, CVE-2026-93606, EUVD-2026-82901

  5. #1

    Initiale Fassung

References