CVE-2026-22709 in vm2
الملخص
بحسب VulDB • 12/06/2026
vm2 هو مكتبة مفتوحة المصدر لإنشاء آلات افتراضية/بيئات معزولة (sandbox) لنظام Node.js. في الإصدارات السابقة من vm2 قبل الإصدار 3.10.2، يمكن تجاوز عملية تنقية (sanitization) دوال رد الاتصال الخاصة بـ `Promise.prototype.then` و `Promise.prototype.catch`. يتيح ذلك للمهاجمين الهروب من بيئة العزل وتشغيل أكواد عشوائية. في الملف lib/setup-sandbox.js، يتم تنظيف دالة رد الاتصال لـ `localPromise.prototype.then`، بينما لا يتم تنقية `globalPromise.prototype.then`. تُرجع الدوال غير المتزامنة (async functions) كائنًا من نوع `globalPromise`. يُصلح الإصدار 3.10.2 هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.