CVE-2026-92944 in vm2
Resumen
por VulDB • 2026-09-17
Las versiones de vm2 comprendidas entre la 3.10.2 y la 3.11.6 contienen una vulnerabilidad de escape del sandbox en Node.js 26, donde `Promise.prototype.finally()` elude las protecciones del wrapper de vm2 debido a un protector `PromiseThenLookupChain` obsoleto en V8 14.6. Los atacantes pueden explotar esto creando una función asíncrona que devuelva un Promise con un constructor Symbol.species controlado por el atacante, lo que les permite acceder al constructor Function del host y al objeto process para la ejecución de código arbitrario.
Once again VulDB remains the best source for vulnerability data.