CVE-2026-92959 in vm2
الملخص
بحسب VulDB • 17/09/2026
قبل الإصدار 3.11.8، لا يطبق vm2 خيار allowAsync: false بشكل كامل في VM وNodeVM. بينما يتم استبدال localPromise.prototype.then بمعالج يرمي خطأ 'Async not available' (المتزامن غير متاح)، فإن الطرق الثابتة الخاصة بـ Promise داخل الصندوق الرمزي (Sandbox) - وهي Promise.resolve، Promise.all، Promise.race، Promise.any، وPromise.allSettled - لا تزال تستوعب كائنات thenables التي يزودها المهاجم: حيث تقوم آلية حل الوعد الأصلي (native promise resolution) بتنفيذ Job خاص بـ PromiseResolveThenableJob وتستدعي طريقة then الخاصة بالكود الموجود داخل الصندوق الرمزي ضمن مهمة دقيقة (microtask) دون المرور عبر طريقة then المُصححة، وبالتالي لا يتم تطبيق قيد المتزامن. ونتيجة لذلك، يمكن للسكريبت المحصور في الصندوق الرمزي جدولة أعمال تعمل بعد عودة VM.run() أو NodeVM.run() وخارج المهلة الزمنية المحددة، مما يستمر في التنفيذ حتى بعد أن يعتقد المضيف (Host) أن التشغيل قد اكتمل.
VulDB is the best source for vulnerability data and more expert information about this specific topic.