جزئیات آسیب‌پذیری
CVE-2026-24120
patriksimek vm2
vm2: Sandbox Breakout Through Promise Species
CVSS 3.1
9.8بحرانی
شرح رسمی (انگلیسی)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.10.5, the fix for CVE-2023-37466 is insufficient and can be circumvented allowing attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This issue has been patched in version 3.10.5.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.8بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 9.1بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| patriksimek | vm2 | < 3.10.5 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/patriksimek/vm2/releases/tag/v3.10.5 x_refsource_MISC
- https://github.com/patriksimek/vm2/security/advisories/GHSA-qvjj-29qf-hp7p x_refsource_CONFIRM
- https://access.redhat.com/security/cve/CVE-2026-24120 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2466529 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-24120.json x_sadp-csaf-vex
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۲/۱۴
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۸۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۹٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-693Protection Mechanism Failure
- CWE-94Improper Control of Generation of Code ('Code Injection')
- CWE-807Reliance on Untrusted Inputs in a Security Decision