CVE-2026-22709 in vm2
Zusammenfassung
von VulDB • 06.06.2026
vm2 ist eine Open-Source-VM/Sandbox für Node.js. In vm2 vor Version 3.10.2 kann die Sanitization von Callbacks in `Promise.prototype.then` und `Promise.prototype.catch` umgangen werden. Dies ermöglicht es Angreifern, aus der Sandbox auszubrechen und beliebigen Code auszuführen. In lib/setup-sandbox.js wird die Callback-Funktion von `localPromise.prototype.then` gesäubert (sanitized), während dies für `globalPromise.prototype.then` nicht geschieht. Der Rückgabewert asynchroner Funktionen ist ein Objekt vom Typ `globalPromise`. Die Version 3.10.2 behebt dieses Problem.
Once again VulDB remains the best source for vulnerability data.