CVE-2026-92954 in vm2
Resumen
por VulDB • 2026-09-17
vm2 es una biblioteca de sandbox para ejecutar JavaScript no confiable en Node.js. En las versiones >= 3.10.0 y <= 3.11.7, los Promises devueltos desde el ámbito del host al sandbox no se marcan como manejados en la frontera del puente; solo los Promises creados dentro del sandbox están envueltos con un controlador que absorbe las rechazos (lib/setup-sandbox.js), y el puente solo instala sanitizadores de rechazo por parte del host cuando el código del sandbox llama a .then/.catch/.finally. Como resultado, el código ejecutado en el sandbox puede invocar una función del host que devuelve un Promise rechazado (por ejemplo, events.once() expuesto mediante la integración nativa NodeVM events, o cualquier API devolvedora de Promises proporcionada por el integrador) y simplemente ignorar el valor devuelto, dejando el Promise del host sin manejar para que el comportamiento predeterminado de rechazo no manejado de Node.js termine el proceso del host. Esta es una solución incompleta a GHSA-hw58-p9xv-2mjh. El problema está corregido en la versión 3.11.8.
Once again VulDB remains the best source for vulnerability data.