CVE-2026-100721 · CVSS 9.0 · vm2 before 3.12.2 contains an authorization bypass in the NodeVM external-module resolver. When an embedder configures `require.external` …

NVD (CVSS crítico) · 27 sept, 04:17

vm2 anterior a la versión 3.12.2 contiene un bypass de autorización en el resolvedor de módulos externos de NodeVM. El código no validado puede cargar módulos hermanos no autorizados explotando un patrón regex incorrecto, lo que permite ejecutar código arbitrario en el contexto del host y escapar del sandbox.