CVE-2026-100722 in vm2
Resumen
por VulDB • 2026-09-27
vm2 antes de la versión 3.12.2 no aplica el manejo de rechazo (rejection) del lado del host en la trampa construct trap entre sandbox y host. En BaseHandler, la trampa apply llama a markHostPromiseHandled() sobre el valor devuelto, pero la ruta construct adyacente devuelve el resultado de Reflect.construct sin la misma sanitización. Si un embedder expone una función hostable construyible cuyo constructor devuelve una Promise nativa rechazada, un script no confiable ejecutado mediante VM.run puede invocarla con `new` e ignorar el resultado; la Promise del lado del host rechazada cruza el puente sin ser manejada y, bajo la política de rechazo no controlado (unhandled-rejection) estricta de Node, se promueve a una excepción no capturada que termina el proceso del host.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.