Veille CVE

‹ Retour à la liste

CVE-2026-92949

4.0 Moyenne

Publiée le 17/09/2026 à 16:18 · Modifiée le 21/09/2026 à 20:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

vm2 versions from 3.9.6 before 3.11.7 fail to properly restrict access to accessor properties on frozen objects, allowing sandboxed scripts to bypass vm.freeze() and vm.readonly() protections. Attackers can use Object.getOwnPropertyDescriptor() or __lookupSetter__() to extract and invoke host object setters directly, mutating properties the embedder explicitly marked read-only.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 6.3 Moyenne disclosure@vulncheck.com CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 4.0 Moyenne disclosure@vulncheck.com CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N

Faiblesses (CWE)

Références

Ailleurs