📌 📄 内容摘要:
🐟 (@stevessr) 在 严重的 vm2(node.js) 沙箱漏洞可让攻击者在主机上执行代码 CVE-2026-26956 中发帖
[!quote]+
该安全问题被追踪为 CVE-2026-26956，已确认会影响 vm2 3.10.4 版，但早期版本也可能存在漏洞。已发布概念验证 (PoC) 漏洞利用代码。
维护者在安全公告中称，该问题只影响已启用 WebAssembly 异常处理和 JSTag 支持的 Node.js 25 环境（已在 Node.js 25.6.1 上确认）。
vm2 是一个开源 Node.js 库，用于在受限沙箱环境中运行不受信任的 JavaScript 代码。在线编码平台、自动化工具和 SaaS 应用程序通常使用它来执行用户提供的脚本。
该库试图将沙盒代码与主机系统隔离，并阻止对进程和文件系统等敏感 Node.js API 的访问。
CVE-2026-26956 源自该库对沙盒环境和主机之间交叉异常的错误处理。
该公告解释说，vm2 通常依赖 JavaScript 级保护措施来...
────────── 链接信息 ──────────
🔗 论坛链接: linux.do
📎 访问地址: https://linux.do/t/topic/2128525/1
─────────────────────────────
📢 来源：LINUX DO
