What is CVE-2026-47683?
CVE-2026-47683 is a vulnerability in vm2, a Node.js sandbox library. In versions prior to 3.11.6, the `bufferAllocLimit` enforcement in `lib/setup-sandbox.js` does not cover `Buffer.concat(list, totalLength)` or `Buffer.from(arrayLike)`, allowing sandbox code to cause large synchronous external memory allocations on the host. Affected users should upgrade to version 3.11.6 or later immediately.
Azərbaycanca: CVE-2026-47683 Node.js sandbox mühiti olan vm2 kitabxanasında tapılan boşluqdur. 3.11.6 əvvəli versiyalarda `Buffer.concat` və `Buffer.from` funksiyalarındakı `bufferAllocLimit` məhdudiyyətinin düzgün tətbiq edilməməsi səbəbindən sandbox daxilindən host yaddaşına böyük həcmdə sinxron giriş mümkündür. Təsirə məruz qalan istifadəçilər dərhal 3.11.6 və ya daha yuxarı versiyaya yeniləməlidir.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
Which product is affected by CVE-2026-47683 and what are the affected versions?
The vulnerability affects vm2, a Node.js sandbox library. Versions prior to 3.11.6 are affected.
What is recommended for users to protect against CVE-2026-47683?
Affected users should immediately upgrade to version 3.11.6 or later.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.