CVE-2026-92962 in vm2
Zusammenfassung
von VulDB • 18.09.2026
vm2 ist eine Sandbox zum Ausführen von nicht vertrauenswürdigem JavaScript. In den Versionen bis einschließlich 3.11.3 erstellt die Funktion `defaultSandboxPrepareStackTrace` in `lib/setup-sandbox.js` ihr Ausgabe-Array unter Verwendung einer prototype-walking Index-Zuweisung (`lines[lines.length] = value`) anstelle eines Prototype-bypassing define-property-Primitivs. Da dieses bridge-interne Array im Sandbox-Bereich (Realm) allokiert wird, kann Code innerhalb der Sandbox einen Accessor für den relevanten Index auf `Array.prototype` installieren; dieser Accessor wird dann jedes Mal aufgerufen, wenn die Sandbox `error.stack` liest (oder anderweitig `Error.prepareStackTrace` auslöst), wodurch es dem Sandbox-Code ermöglicht wird, jede vom Bridge geschriebene Stacktrace-Zeile zu beobachten und abzufangen. Das gleiche Muster wird im Fehlerbehandlungs-Catch-Zweig verwendet. Die geschriebenen Werte sind ausschließlich formatierte Strings, sodass die praktische Auswirkung auf einen Informations-Nebenkanal (Information Side Channel) sowie eine Verletzung der Invariante der Bridge-Container-Abwehr von vm2 beschränkt ist und nicht zu einem Sandbox-Escape führt; der Anbieter stuft das Problem als „Low“ ein. Das Problem wurde in vm2 3.11.4 behoben, bei dem jeder Eintrag als eigene Dateneigenschaft (own data property) über `Reflect.defineProperty` installiert wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.