9.8 Critique

CVE-2026-44009 vm2: Sandbox Breakout Through Null Proto Exception

Description

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.2, VM2 suffers from a sandbox breakout vulnerability. This allows attackers to write code which can escape from the VM2 sandbox and execute arbitrary commands on the host system. This vulnerability is fixed in 3.11.2.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
vm2 3.11	premières → < 3.11.2	3.11.2
Self-service automation portal 2	Versions non publiées
Red Hat Developer Hub	Versions non publiées
Red Hat Ansible Automation Platform 2.1 1785854226	premières → < 1785854226	1785854226
Self-service automation portal 2.1 1785854226	premières → < 1785854226	1785854226

Références

github.com github.com
github.com github.com
access.redhat.com access.redhat.com
access.redhat.com access.redhat.com
bugzilla.redhat.com bugzilla.redhat.com
github.com github.com
security.access.redhat.com security.access.redhat.com

Chronologie

Publiée 13 mai 2026
Dernière modification 4 novembre 2026

Les 77 CVE de vm2 →

CVE-2026-100723 vm2 before 3.12.2 does not apply its Buffer backing-store ownership invariant (byteOffset === 0 and buffer.byteLength… 6.9 Moyenne CVE-2026-100722 vm2 before 3.12.2 does not apply host-side Promise rejection handling in the sandbox-to-host construct trap 8.9 Élevée CVE-2026-100721 vm2 before 3.12.2 contains an authorization bypass in the NodeVM external-module resolver 9.5 Critique CVE-2026-93606 vm2 (npm) versions 3.12.0 and earlier contain a sandbox escape in `VM` and `NodeVM` 10.0 Critique

Suivre cette CVE