george0papasotiriou/cve-2026-11114-node.js-vm-sandbox-escape-via-proxyExploit de PoC para a CVE-2026-11114 que demonstra o escape de sandbox do vm do Node.js via Proxy para obter execução remota de código contra um endpoint HTTP /eval vulnerável.
vm via Proxy// sandbox_server.js - Vulnerable VM sandbox
const vm = require('vm');
const express = require('express');
const app = express();
app.use(express.json());
app.post('/eval', (req, res) => {
const code = req.body.code;
const sandbox = { console: { log: () => {} } }; // limited sandbox
const script = new vm.Script(code);
const context = vm.createContext(sandbox);
try {
const result = script.runInContext(context);
res.send(String(result));
} catch(e) {
res.send(e.message);
}
});
app.listen(3000);
vmUma aplicação usa o módulo vm do Node.js para executar código do usuário em um sandbox, mas não isola adequadamente o objeto global. Um atacante pode acessar a cadeia de construtores (por exemplo, via this.constructor.constructor) para escapar do sandbox e executar comandos arbitrários de shell.
vm ainda fornece acesso a construtores nativos que concedem acesso ao escopo global do Node.js (process).npm install express
node sandbox_server.js
python exploit_vm_escape.py
A saída mostra o resultado de id, comprovando a execução de comandos.