george0papasotiriou/cve-2026-11114-node.js-vm-sandbox-escape-via-proxyPoC-Exploit für CVE-2026-11114, der eine Node.js-vm-Sandbox-Escape über Proxy demonstriert, um Remote-Code-Ausführung gegen einen verwundbaren HTTP-/eval-Endpunkt zu erreichen.
vm Sandbox-Escape via Proxy// sandbox_server.js - Vulnerable VM sandbox
const vm = require('vm');
const express = require('express');
const app = express();
app.use(express.json());
app.post('/eval', (req, res) => {
const code = req.body.code;
const sandbox = { console: { log: () => {} } }; // limited sandbox
const script = new vm.Script(code);
const context = vm.createContext(sandbox);
try {
const result = script.runInContext(context);
res.send(String(result));
} catch(e) {
res.send(e.message);
}
});
app.listen(3000);
vmEine Anwendung verwendet das vm-Modul von Node.js, um Benutzercode in einer Sandbox auszuführen, isoliert das globale Objekt jedoch nicht ordnungsgemäß. Ein Angreifer kann über die Konstruktorkette (z. B. via this.constructor.constructor) aus der Sandbox ausbrechen und beliebige Shell-Befehle ausführen.
vm-Kontext bietet weiterhin Zugriff auf eingebaute Konstruktoren, die Zugriff auf den globalen Node.js-Bereich (process) gewähren.npm install express
node sandbox_server.js
python exploit_vm_escape.py
Die Ausgabe zeigt das Ergebnis von id und beweist die Befehlsausführung.