isolated-vm has vulnerable CachedDataOptions in API

NGHIÊM TRỌNG 9.8CVE-2022-39266 · GHSA-2jjq-x548-rhpv · Công bố 29/09/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-39266 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng isolated-vm (isolated-vm project), isolated-vm.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 70.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.3.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
isolated-vm isolated-vm_project	`≤ 4.3.6`	Chưa có bản vá
isolated-vm npm	`< 4.3.7`	`4.3.7`

Mô tả

Impact

If the untrusted v8 cached data is passed to the API through CachedDataOptions, the attackers can bypass the sandbox and run arbitrary code in the nodejs process. Version 4.3.7 changes the documentation to warn users that they should not accept cachedData payloads from a user.

Mô tả của NVD

isolated-vm is a library for nodejs which gives the user access to v8's Isolate interface. In versions 4.3.6 and prior, if the untrusted v8 cached data is passed to the API through CachedDataOptions, attackers can bypass the sandbox and run arbitrary code in the nodejs process. Version 4.3.7 changes the documentation to warn users that they should not accept `cachedData` payloads from a user.