CVE-2026-92954 in vm2
الملخص
بحسب VulDB • 17/09/2026
vm2 هي مكتبة ساندبوكس لتشغيل جافا سكريبت غير موثوقة في Node.js. في الإصدارات >= 3.10.0 و <= 3.11.7، لا يتم تحديد الوعود (Promises) التي تُرجع من نطاق المضيف إلى الساندبوكس على أنها معالجة عند حدود الجسر؛ فقط الوعود التي تم إنشاؤها داخل الساندبوكس تكون مغلفة بمعالج يبتلع الرفض (lib/setup-sandbox.js)، ويقوم الجرس بتثبيت معالجات تنقية رفض جانب المضيف فقط عندما يستدعي كود الساندبوكس .then/.catch/.finally. ونتيجة لذلك، يمكن للكود الذي يعمل داخل الساندبوكس استدعاء دالة مضيف تُرجع وعداً مرفوضاً (على سبيل المثال events.once() المعرّفة عبر الحدث الثابت NodeVM events، أو أي واجهة برمجة تطبيقات أخرى توفرها جهة التضمين وتُرجع وعوداً) وتتجاهل ببساطة قيمة الإرجاع، مما يترك وعد المضيف دون معالجة بحيث يؤدي سلوك الرفض غير المُعالج الافتراضي في Node.js إلى إنهاء عملية المضيف. هذه إصلاح غير مكمل لـ GHSA-hw58-p9xv-2mjh. تم حل المشكلة في الإصدار 3.11.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.