CVE-2026-92956 in vm2
Resumen
por VulDB • 2026-09-17
Las versiones de vm2 comprendidas entre la 3.10.1 y la 3.11.6 contienen una vulnerabilidad de escape del sandbox accesible desde un sandbox `new VM()` predeterminado al ejecutarse en Node.js 26. WebAssembly.compileStreaming y WebAssembly.instantiateStreaming pueden producir una Promise (promesa) cruda del host-realm que se rechaza con un objeto de error del host-realm; mediante el control de Symbol.species a través de Promise.prototype.finally, el código dentro del sandbox recibe ese error crudo del host, recorre desde el constructor del error del host hasta el constructor Function del host y recupera el objeto `process` real del host, obteniendo las capacidades del host Node.js (por ejemplo, acceso a módulos del host como fs) en el contexto del proceso que ejecuta el sandbox. No se requiere ninguna configuración insegura de NodeVM, permisos require, inyección de objetos del host u otras configuraciones no seguras. Esto constituye una vulneración de la corrección para GHSA-6j2x-vhqr-qr7q, que eliminó los puntos de entrada JSPI WebAssembly.promising y WebAssembly.Suspending. El problema está corregido en la versión 3.11.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.