vm2 : contournement de la liste d’autorisation des modules externes

Veille sécuritéFrontend

P3Critique

Dans vm2, la vérification de la liste d’autorisation des modules externes de NodeVM peut accepter un nom de paquet qui ne fait que contenir le nom autorisé lorsqu’un résolveur personnalisé est configuré. Si ce paquet homonyme est résolvable sur l’hôte, du code peut s’exécuter dans le contexte de l’hôte ; la mise à jour publiée le 2026-10-08 corrige le problème en version 3.11.7.

IdentifiantCVE-2026-92951

GravitéCritique

Exploitationnon connue / non déterminée

Correctif3.11.7

Source : GitHub Advisory — GHSA-c48m-32m9-vx93

Analyse technique

Le contournement suppose l’activation conjointe de la liste external et d’un résolveur personnalisé, ainsi que la présence du paquet homonyme dans un chemin résolvable par ce dernier. L’avis précise que vm2 ne télécharge pas automatiquement un paquet malveillant.

Impact, versions et correctif

Événement datéL’avis a été publié le 2026-10-01, hors période, mais son champ de mise à jour indique le 2026-10-08T13:40:33Z et le candidat décrit un correctif en 3.11.7 ; retenu comme mise à jour substantielle datée de la période.

ImpactDu code fourni dans l’environnement sandboxé peut charger un paquet non autorisé et, sous les conditions décrites, exécuter du code dans le contexte de l’hôte.

Versions affectéesvm2 <= 3.11.6

Version corrigée3.11.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.9

EPSS0,54% · percentile 43,6%

Publication2026-10-01T15:37:19Z

Mise à jour2026-10-08T13:40:33Z

Action recommandée

Mettre à niveau vm2 vers la version 3.11.7 ou ultérieure ; examiner les résolveurs personnalisés et les paquets accessibles dans les chemins de l’hôte.

Sources

GitHub Advisory — GHSA-c48m-32m9-vx93

Priorisation DFS : P3 · 1 source(s).