CVE-2026-92956 in vm2
Zusammenfassung
von VulDB • 17.09.2026
In den Versionen von vm2 ab 3.10.1 bis einschließlich 3.11.6 befindet sich eine Sandbox-Escape-Schwachstelle, die über ein Standard-`new VM()`-Sandbox erreicht werden kann, wenn sie auf Node.js 26 ausgeführt wird. WebAssembly.compileStreaming und WebAssembly.instantiateStreaming können einen rohen Host-Realm-Promise erzeugen, der mit einem Fehlerobjekt des Host-Realm fehlschlägt; durch die Steuerung von Symbol.species über Promise.prototype.finally erhält Sandbox-Code diesen rohen Host-Fehler, navigiert vom Host-Fehler-Konstruktor zum Host-Funktionskonstruktor und stellt das echte Host-`process`-Objekt wieder her, wodurch es ihm gelingt, die Fähigkeiten des Node.js-Hosts (z. B. den Zugriff auf Host-Module wie fs) im Kontext des Prozesses zu erlangen, der die Sandbox ausführt. Es sind keine NodeVM-, require-Berechtigungen, Injection von Host-Objekten oder anderweitig unsicheren Konfigurationen erforderlich. Dies ist eine Umgehung der Korrektur für GHSA-6j2x-vhqr-qr7q, welche die JSPI-Einstiegspunkte WebAssembly.promising und WebAssembly.Suspending entfernt hat. Das Problem wurde in Version 3.11.7 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.