Vm2

Recentemente, foram reveladas doze vulnerabilidades críticas na biblioteca vm2 do Node.js, que podem ser exploradas por atacantes para escapar do sandbox e executar código arbitrário em sistemas vulneráveis. A biblioteca vm2 é amplamente utilizada para executar código JavaScript não confiável em um ambiente seguro, mas as falhas de segurança identificadas, como CVE-2026-24118 e CVE-2026-43997, apresentam riscos significativos. As vulnerabilidades têm pontuações de severidade elevadas, com várias delas atingindo 9.8 ou 10 no CVSS, indicando um risco crítico. As versões afetadas incluem até a 3.10.5, e os desenvolvedores são aconselhados a atualizar para a versão 3.11.2 para garantir a proteção adequada. A complexidade de isolar de forma segura o código não confiável em ambientes de sandbox JavaScript é um desafio reconhecido, e novas falhas podem ser descobertas no futuro. A atualização imediata é essencial para mitigar os riscos associados a essas vulnerabilidades.

Uma vulnerabilidade crítica foi identificada na biblioteca de sandboxing vm2, amplamente utilizada no Node.js, permitindo que atacantes escapem do ambiente seguro e executem código arbitrário no sistema host. A falha, identificada como CVE-2026-26956, afeta a versão 3.10.4 do vm2, embora versões anteriores também possam estar vulneráveis. O problema ocorre em ambientes que utilizam Node.js 25 com suporte a tratamento de exceções do WebAssembly e JSTag. A biblioteca vm2 é projetada para executar código JavaScript não confiável em um ambiente restrito, mas a manipulação inadequada de exceções permite que objetos de erro do host sejam injetados de volta no sandbox, possibilitando o acesso a APIs sensíveis do Node.js, como o objeto process. O mantenedor da biblioteca recomenda que os usuários atualizem para a versão 3.10.5 ou superior para mitigar os riscos. Essa não é a primeira vez que o vm2 enfrenta problemas de segurança, refletindo os desafios de isolar código não confiável em ambientes JavaScript. Com mais de 1,3 milhão de downloads semanais, a vulnerabilidade representa um risco significativo para plataformas que dependem dessa biblioteca.

Uma vulnerabilidade crítica de escape de sandbox foi divulgada na popular biblioteca vm2 do Node.js, que, se explorada com sucesso, pode permitir que atacantes executem código arbitrário no sistema operacional subjacente. A falha, identificada como CVE-2026-22709, possui uma pontuação CVSS de 9.8 em 10.0, indicando seu alto nível de gravidade. O problema decorre da sanitização inadequada dos manipuladores de Promise na versão 3.10.0 do vm2, permitindo que o código escape do ambiente seguro em que deveria ser executado. A biblioteca vm2 é amplamente utilizada para executar código não confiável em um ambiente isolado, mas a descoberta de múltiplas falhas de segurança nos últimos anos levanta preocupações sobre sua confiabilidade. Embora a versão 3.10.2 tenha corrigido essa vulnerabilidade, os mantenedores alertam que novas falhas podem surgir, recomendando que os usuários atualizem para a versão mais recente (3.10.3) e considerem alternativas mais robustas, como o isolated-vm. A situação é crítica, e os usuários devem agir rapidamente para proteger seus sistemas.

Uma vulnerabilidade de severidade crítica foi identificada na biblioteca vm2, utilizada para criar um ambiente seguro para a execução de código JavaScript não confiável. A falha, rastreada como CVE-2026-22709, permite que atacantes escapem do sandbox e executem código arbitrário no sistema host. A biblioteca, que já foi amplamente utilizada em mais de 200 mil projetos no GitHub, foi descontinuada em 2023 devido a repetidas vulnerabilidades de escape de sandbox. No entanto, em outubro de 2023, o mantenedor Patrik Šimek decidiu reviver o projeto, lançando a versão 3.10.0, que corrigiu várias vulnerabilidades conhecidas. A nova falha surge da falha na sanitização adequada de ‘Promises’, permitindo que funções assíncronas retornem uma Promise global com callbacks que não são devidamente sanitizados. O mantenedor informou que a versão 3.10.1 abordou parcialmente a vulnerabilidade, enquanto a versão 3.10.2 aperfeiçoou a correção. Dada a facilidade de exploração da CVE-2026-22709, é recomendado que os usuários atualizem para a versão mais recente imediatamente. A biblioteca continua a ser popular, com cerca de um milhão de downloads semanais.