JVNDB-2026-016090

vm2 projectのvm2における複数の脆弱性

vm2はNode.js向けのオープンソースのVM/サンドボックスです。バージョン3.9.6から3.10.5の間、vm2のブリッジは実際のホスト領域の組み込みプロトタイプに対して変更可能なプロキシを公開し、その後、sandboxからの書き込みをotherReflectSet()およびotherReflectDefineProperty()を使って基盤となるホストオブジェクトに転送します。これにより、デフォルトのVMまたは継承されたNodeVM内で実行される攻撃者制御のJavaScriptが、サンドボックス内部から共有ホストのObject.prototype、Array.prototype、Function.prototypeを改変できるようになります。この脆弱性はバージョン3.11.0で修正されました。

vm2 project

• vm2 3.9.6 以上 3.11.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Sandbox escape in vm2  Advisory  patriksimek/vm2  GitHub

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-44005

1. National Vulnerability Database (NVD) : CVE-2026-44005

• [2026年05月18日]
    掲載