Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-09620

Опубликовано: 01 мая 2026
Источник: fstec
CVSS3: 5.8
CVSS2: 5
EPSS Низкий

Описание

Уязвимость трансформатора кода библиотеки vm2 пакетного менеджера NPM связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Node.js Foundation
Red Hat Inc.

Наименование ПО

vm2
Self-service automation portal

Версия ПО

до 3.11.0 (vm2)
2 (Self-service automation portal)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для vm2:
https://github.com/patriksimek/vm2/security/advisories/GHSA-wp5r-2gw5-m7q7
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2026-44003

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 16%
0.00248
Низкий

5.8 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.3
redhat
3 месяца назад

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, vm2's code transformer has a performance optimization that skips AST analysis when the code does not contain catch, import, or async keywords. This fast-path bypass allows sandboxed code to directly access the internal VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL variable, which exposes internal security functions (handleException, wrapWith, import). This vulnerability is fixed in 3.11.0.

CVSS3: 5.3
nvd
3 месяца назад

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, vm2's code transformer has a performance optimization that skips AST analysis when the code does not contain catch, import, or async keywords. This fast-path bypass allows sandboxed code to directly access the internal VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL variable, which exposes internal security functions (handleException, wrapWith, import). This vulnerability is fixed in 3.11.0.

CVSS3: 5.3
github
3 месяца назад

vm2's Transformer Fast-Path Bypass Exposes Internal State Variable

EPSS

Процентиль: 16%
0.00248
Низкий

5.8 Medium

CVSS3

5 Medium

CVSS2