vm2 ＜3.9.10 存在任意代码执行漏洞

最新推荐文章于 2024-05-30 17:38:16 发布

开源生态安全OSCS

最新推荐文章于 2024-05-30 17:38:16 发布

阅读量644

点赞数

分类专栏：漏洞情报订阅文章标签：安全 ide java github

本文链接：https://blog.csdn.net/cups107/article/details/128408162

版权

46 篇文章 6 订阅

订阅专栏

vm2 是一个基于 Node.js 的沙箱环境，可以使用列入白名单的 Node 内置模块运行不受信任的代码。

vm2 3.9.10之前版本中由于 WeakMap.prototype.set 方法使用原型查找从而存在任意代码执行漏洞，攻击者可利用此漏洞在沙箱内执行任意恶意代码，导致沙箱崩溃或获取主机对象信息。
该漏洞已存在 POC。

vm2@[0.1.0, 3.9.10)

升级vm2到 3.9.10 或更高版本

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

具体订阅方式详见：

在这里插入图片描述

关注