CVE-2026-100721

सारांश

vm2 3.12.2 से पहले में NodeVM external-module resolver में एक authorization bypass मौजूद है। जब कोई embedder `require.external` को एक custom resolver के साथ configure करता है (और `context: 'host'`), तो lib/resolver-compat.js में `LegacyResolver.customResolve` resolved module directory को `this.externals` में `new RegExp('^' + escapeRegExp(resolvedPath))` के रूप में record करता है, बिना किसी path separator या end-of-string boundary की आवश्यकता के। इसलिए untrusted guest code allowlisted module (जैसे `foo`) को require कर सकता है और फिर किसी non-allowlisted sibling का absolute path require कर सकता है जिसका path केवल resolved prefix साझा करता है (जैसे `.../node_modules/foo2/index.js`); वह sibling `isPathAllowedForModule` को pass कर जाता है और `hostRequire` के माध्यम से load हो जाता है, इसलिए इसका top-level code host process में तब चलता है जब exports को `vm.readonly` से wrap किया जाता है, जिसके परिणामस्वरूप sandbox escape और host context में arbitrary code execution होता है।

स्रोत

• CVE-2026-100721PoC

  CVE-2026-100721 के लिए Python PoC: vm2 <3.12.2 NodeVM external allowlist bypass का पता लगाता है और उसका शोषण करता है, जिससे local lab या mass HTTP targets के माध्यम से sandbox escape और host RCE प्राप्त होता है।