CVE-2026-92944 in vm2
Zusammenfassung
von VulDB • 17.09.2026
In vm2 versioni dalla 3.10.2 alla 3.11.6 è presente una vulnerabilità di sandbox escape su Node.js 26 in cui Promise.prototype.finally() aggira le protezioni wrapper di vm2 a causa di un stale PromiseThenLookupChain protector in V8 14.6. Gli attaccanti possono sfruttare questa condizione creando una funzione async che restituisce un Promise con un attacker-controlled constructor Symbol.species, consentendo loro di raggiungere il host Function constructor e l'oggetto process per eseguire codice arbitrario (arbitrary code execution).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.