CVE-2026-100722 in vm2
الملخص
بحسب VulDB • 27/09/2026
قبل الإصدار 3.12.2 من vm2، لا يتم تطبيق معالجة رفض الوعد (Promise) على جانب المضيف في فخّ البناء (construct trap) الخاص بالانتقال من الصندوق الرملي إلى المضيف. في BaseHandler، يستدعي فخّ التطبيق (apply trap) الدالة markHostPromiseHandled() على القيمة المُرجعة، لكن المسار المجاور للبناء يُعيد نتيجة Reflect.construct دون نفس عملية التعقيم. إذا قام مُضمّن (embedder) بتعريض دالة قابلة للإنشاء من جانب المضيف يكون لها باني (constructor) يعيد وعوداً مرفوضة أصلياً (native rejected Promise)، يمكن لبرنامج غير موثوق يتم تنفيذه عبر VM.run استدعاؤها باستخدام `new` وتجاهل النتيجة؛ وعندها يتجاوز الوعد المرفوض على جانب المHOST الجسر دون معالجة، وبموجب سياسة Node الصارمة بشأن الرفضات غير المعالجة (unhandled-rejection)، يُترجم هذا إلى استثناء غير مُلتقط يؤدي إلى إنهاء عملية المضيف.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.