vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.0 встроенный разрешитель NodeVM может быть обойден, когда включен модул…

vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.0 встроенный разрешитель NodeVM может быть обойден, когда включен модуль разрешен (в том числе через wild card '*'). Встроенный модуль обнажает модуль Node._load(), который загружает любой модуль по имени непосредственно в контексте хоста, полностью минуя встроенное ограничение vm2. Это позволяет песочковому коду загружать исключенные встроенные встроенные встроенные встроенные файлы, такие как child_process, и достигать удаленного выполнения кода. Эта уязвимость исправлена в 3.11.0.