Crítica

isolated-vm has vulnerable CachedDataOptions in API

Publicada: 30.09.2022
Actualizado: 11.10.2026 10:22

Impact

If the untrusted v8 cached data is passed to the API through CachedDataOptions, the attackers can bypass the sandbox and run arbitrary code in the nodejs process. Version 4.3.7 changes the documentation to warn users that they should not accept cachedData payloads from a user.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	isolated-vm	< 4.3.7	4.3.7

Referencias

Puntuación CVSS 9.6/10

Vector CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Debilidad (CWE): CWE-20, CWE-287, CWE-693
Plataforma: npm
Paquete: isolated-vm
Publicada: 30.09.2022
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-2jjq-x548-rhpv - CC BY 4.0

Historial de vulnerabilidades: isolated-vm

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 04.2021 09.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 1

Divulgaciones por año

2021: 1
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

30.09.2022

isolated-vm has vulnerable CachedDataOptions in API esta entrada

Crítica · 9.6 CVE-2022-39266 < 4.3.7 4.3.7
06.04.2021

Misuse of `Reference` and other transferable APIs may lead to access to nodejs isolate

Alta · 8.0 CVE-2021-21413 < 4.0.0 4.0.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación