CVE-2026-92959 in vm2
Resumen
por VulDB • 2026-09-17
vm2 antes de la versión 3.11.8 no aplica completamente la opción allowAsync: false en VM y NodeVM. Aunque localPromise.prototype.then se reemplaza con un controlador que lanza 'Async not available', los métodos estáticos Promise del sandbox (Promise.resolve, Promise.all, Promise.race, Promise.any y Promise.allSettled) siguen asimilando thenables proporcionados por el atacante: la resolución de promesas nativas realiza una PromiseResolveThenableJob e invoca al método then del código en el sandbox dentro de una microtask sin pasar por el then parcheado, por lo que la restricción asíncrona nunca se aplica. Como resultado, un script en el sandbox puede programar tareas que se ejecutan después de que VM.run() o NodeVM.run() hayan devuelto su control y fuera del tiempo de espera configurado, continuando con la ejecución después de que el host crea que esta ha finalizado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.