Zaloguj się
Deutsch English Español Polski
Średnia

vm2 vulnerable to Inspect Manipulation

  • Ujawniono: 17.05.2023
  • Aktualizacja: 11.10.2026 10:22

In versions 3.9.17 and lower of vm2 it was possible to get a read-write reference to the node inspect method and edit options for console.log.

Impact

A threat actor can edit options for console.log.

Patches

This vulnerability was patched in the release of version 3.9.18 of vm2.

Workarounds

After creating a vm make the inspect method readonly with vm.readonly(inspect).

References

PoC - https://gist.github.com/arkark/c1c57eaf3e0a649af1a70c2b93b17550

For more information

If you have any questions or comments about this advisory:

  • Open an issue in VM2

Thanks to @arkark (Takeshi Kaneko) of GMO Cybersecurity by Ierae, Inc. for disclosing this vulnerability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm vm2 < 3.9.18 3.9.18

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-74
Platforma
npm
Paczka
vm2
Ujawniono
17.05.2023
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p5gc-c584-jj6v - CC BY 4.0

Historia podatności: vm2

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (78) w archiwum
Wszystkich wpisów
78
Pierwsza → ostatnia
10.2021 10.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 51
  • Wysoka 14
  • Średnia 12
  • Niska 1

Ujawnienia w latach

Istotność:
  1. vm2 vulnerable to Inspect Manipulation ten wpis
    Średnia · 5.3 CVE-2023-32313 < 3.9.18 3.9.18
  2. vm2 contains a sandbox escape vulnerability
    Krytyczna · 10.0 CVE-2026-93605 < 3.12.1 3.12.1
  3. vm2: NodeVM custom resolution bypasses external path boundaries
    Krytyczna · 10.0 CVE-2026-100721 < 3.12.2 3.12.2
  4. vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process
    Wysoka · 8.6 CVE-2026-100722 < 3.12.2 3.12.2
  5. vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM
    Wysoka · 7.1 CVE-2026-92959 < 3.11.8 3.11.8
  6. vm2: Sandbox Escape (NodeVM)
    Krytyczna · 10.0 CVE-2026-92955 < 3.11.8 3.11.8
  7. vm2: Host-returned Promise rejection can bypass vm2's unhandled-rejection hardening and terminate the host process
    Krytyczna · 8.6 CVE-2026-92954 >= 3.10.0, < 3.11.8 3.11.8
  8. vm2: Default VM can mutate host TypedArray and ArrayBuffer intrinsics after the host-prototype pollution fix
    Krytyczna · 10.0 CVE-2026-92953 >= 3.11.0, < 3.11.8 3.11.8
  9. vm2 sandbox escape to host RCE via revisited host-wrapped AggregateError bypassing Error sanitization cycle short-circuit
    Krytyczna · 9.0 CVE-2026-92934 < 3.11.8 3.11.8
  10. vm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)
    Wysoka · 7.5 CVE-2026-92942 < 3.11.7 3.11.7
  11. vm2: NodeVM `require.external` without an explicit `require.root` grants unrestricted host filesystem access and full RCE
    Krytyczna · 10.0 CVE-2026-92946 < 3.11.7 3.11.7
  12. vm2: Sandboxed code can read and write host-realm memory via Node's shared Buffer pool
    Krytyczna · 10.0 CVE-2026-92947 < 3.11.7 3.11.7
  13. vm2 sandbox escape via WebAssembly.compileStreaming Promise species bypass
    Krytyczna · 10.0 CVE-2026-92956 >= 3.10.1, < 3.11.7 3.11.7
  14. vm2: NodeVM builtin allowlist bypass via node:test.run() execArgv allows sandbox escape
    Krytyczna · 9.9 CVE-2026-92948 >= 3.9.6, < 3.11.7 3.11.7
  15. vm2 CLI provides no sandbox isolation - host-realm require() is reachable from sandboxed scripts
    Wysoka · 8.6 CVE-2026-92950 < 3.11.7 3.11.7
  16. vm2 exposes host HTTPS credentials and TLS traffic through globalAgent
    Krytyczna · 10.0 CVE-2026-92940 >= 3.11.3, < 3.11.7 3.11.7
  17. vm2 Custom Module Resolver Can Bypass the External Package Allowlist by Loading a Colliding Host Package
    Krytyczna · 9.9 CVE-2026-92951 < 3.11.7 3.11.7
  18. vm2: NodeVM builtin denylist bypass via fs/promises despite -fs, allowing host filesystem writes
    Wysoka · 8.5 CVE-2026-92958 < 3.11.7 3.11.7
  19. vm2: NodeVM node:-prefixed negative builtin deny bypass exposes child_process
    Krytyczna · 9.9 CVE-2026-92957 < 3.11.7 3.11.7
  20. vm2: NodeVM nesting guard accepts array-shaped require and permits host RCE
    Krytyczna · 9.0 CVE-2026-92935 >= 3.11.4, < 3.11.7 3.11.7
  21. vm2: GHSA-m283-3h24-438v fix bypass leads to host RCE via call/apply indirection
    Krytyczna · 10.0 CVE-2026-92937 >= 3.11.6, < 3.11.7 3.11.7
Pokaż więcej (20) Widać 21 z 66

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.