anonhaven
Ad

CVE-2026-92960

CRITICAL CVSS 4.0: 10,0 EPSS 0.43%
Обновлено 17 сентября 2026
Patriksimek
Параметр Значение
CVSS 10,0 (CRITICAL)
Уязвимые версии до 3.11.6
Тип уязвимости CWE-200 (Раскрытие информации)
Поставщик Patriksimek
Публичный эксплойт Нет

vm2 before 3.11.6 fails to restrict access to os and dns builtins under the builtin: ['*'] configuration, allowing sandbox code to read host process identity and network topology. Attackers can invoke dns.setServers() to hijack the host process DNS resolver globally, redirecting all subsequent host DNS queries through an attacker-controlled resolver.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-200 Information Exposure (Раскрытие информации)

Уязвимые продукты

patriksimek:vm2

Ссылки 2

https://github.com/patriksimek/vm2/security/advisories/GHSA-m5w8-4gq2-6f8x
GitHub Security Advisory (GHSA-m5w8-4gq2-6f8x)
https://www.vulncheck.com/advisories/vm2-before-3.11.6-process-wide-state-expos…
VulnCheck Advisory: vm2 before 3.11.6 Process-wide State Exposure via os and dns
Share Post Share Share Share

Связанные уязвимости

CVE-2026-92963

Patriksimek

6,9

CVE-2026-92962

Patriksimek

2,1

CVE-2026-92961

Patriksimek

8,7

CVE-2026-92959

Patriksimek

7,1

CVE-2026-92958

Patriksimek

8,4