vm2-nesting-check

Verificatore di evidenze offline per CVE-2026-92935: vm2 array-shaped require nesting escape (alias GHSA-8hr7-r645-pc6w).

Confronta le versioni del pacchetto vm2 fornite esplicitamente con gli intervalli dell'advisory revisionati e riporta cosa le evidenze di quella versione mostrano e cosa non mostrano. Python 3.10+, solo libreria standard; il singolo eseguibile vm2_nesting_check.py può essere copiato autonomamente. Non contatta mai siti web, non importa codice dell'applicazione, non esegue gestori di pacchetti e non esegue payload di exploit.

Indice

• Ambito e limiti dichiarati
• Requisiti
• Avvio rapido
• Anteprima di un report sintetico
• Regole revisionate
• Input
• Osservazioni dell'operatore
• Candidati alla revisione del codice sorgente
• Report e output
• Stato di uscita e interruzione
• Limiti e gestione dei dati
• Fonti e approfondimenti
• Sviluppo e contributi
• Sicurezza e licenza

Ambito e limiti dichiarati

• Solo triage delle evidenze. Un risultato descrive la versione (e l'eventuale provenienza o le osservazioni) che hai fornito. Non analizza sistemi in produzione, non verifica la sfruttabilità e non conferma che una patch sia installata.
• L'inventario lo fornisci tu. Un URL pubblico non può fornire l'inventario dei pacchetti installati. Ottieni la versione esatta e la provenienza di ogni istanza di pacchetto distribuita; le dichiarazioni e le versioni delle workstation locali non costituiscono evidenza di distribuzione.
• potentially_affected non significa sfruttamento. Indica che la versione riportata rientra nell'intervallo affetto documentato. Le precondizioni dell'applicazione e la sfruttabilità non sono state stabilite, e ogni riga mantiene exploitability: not_tested.
• fixed_version_reported non è un'attestazione di patch. Descrive solo una dichiarazione di versione; non attesta mai patch installate o sicurezza.
• unknown non è né pulito né un errore. Versioni mancanti, in conflitto, malformate, prerelease, qualificate e build personalizzate/vendor restano unknown, così come qualsiasi cosa al di fuori degli intervalli revisionati.
• Ambito limitato a una singola CVE. Le versioni precedenti alla 3.11.4 possono presentare altre vulnerabilità ma sono al di fuori di questo specifico advisory.
• L'uso del verificatore su inventari reali richiede l'autorizzazione su quei sistemi. Sviluppare o eseguire questo progetto non autorizza alcuna scansione di target reali, e il verificatore non ne esegue alcuna.

Requisiti

• Python 3.10 o superiore; nessun pacchetto di terze parti.
• Nient'altro a runtime. Gli helper per input limitati e reportistica sono inclusi dal verificatore Node.js revisionato in 74aa57ba5df05c34d17ae67912cd26ec2335201b, con confronto degli intervalli specifico per il pacchetto e la correzione CSV per spazi bianchi misti. Non è necessario alcun repository complementare.
• La CI esegue i test su Ubuntu, Windows e macOS con Python 3.10 e 3.14.

Avvio rapido

# Assess one reported version and print JSON
python vm2_nesting_check.py --version 3.11.7 --format json

# Assess the example inventory and save an HTML report
python vm2_nesting_check.py --inventory examples/inventory.example.json --format html --output report.html

# Assess a CSV inventory (CSV is the default format) and exit 1 on potentially_affected results
python vm2_nesting_check.py --csv-list inventory.csv --fail-on-finding

# Show every option, then run the local test suite
python vm2_nesting_check.py --help
python -m unittest -v

È richiesto almeno uno tra --version, --inventory, --csv-list o --source. --tool-version stampa la versione del checker (attualmente 1.1.0).

Anteprima del report sintetico

Apri il report di esempio sintetico. Solo dati di esempio; non si tratta di una valutazione reale.

Regole revisionate

Avviso primario e database revisionato recuperati il 2026-10-24 (rules_as_of).

L'intervallo interessato documentato va da 3.11.4 a 3.11.6. La release corretta revisionata è 3.11.7, e la linea corretta revisionata è 3.11.x.

Versione segnalata di esempio	Risultato
3.11.3	unknown
3.11.4	potentially_affected
3.11.6	potentially_affected
3.11.7	fixed_version_reported
3.11.8	fixed_version_reported
3.12.0	unknown
4.0.0	unknown

Note sui limiti:

• Le linee future restano unknown anziché estrapolare un'asserzione di patch, e le versioni al di fuori dell'esatto intervallo interessato restano unknown, comprese le release più vecchie che potrebbero presentare altre vulnerabilità.
• Il database associa questa CVE al GHSA canonico; la pagina del manutentore non mostra ancora alcuna CVE nota. La data del 17 settembre nel report non è la data di pubblicazione canonica.
• È accettato un v iniziale (v3.11.7). Versioni mancanti, in conflitto, malformate, prerelease, qualificate, build personalizzate/vendor restano unknown.
• --build-source (o il campo build_source) con valore vuoto, unknown (il valore predefinito), upstream, official o official_upstream viene confrontato come upstream. Qualsiasi altro valore, come il nome di un vendor, restituisce unknown perché richiede evidenza indipendente di patch.

Input

Ogni valore di input è un'istanza di pacchetto separata; il checker non riconcilia le evidenze tra le voci per una singola istanza. Gli input possono essere combinati in un'unica esecuzione.