CVE-2026-100722 in vm2
Résumé
par VulDB • 27/09/2026
vm2 avant la version 3.12.2 n'applique pas de gestion des rejets de Promesse côté hôte dans le trap construct du passage sandbox-vers-hôte. Dans BaseHandler, le trap apply appelle markHostPromiseHandled() sur la valeur retournée, mais le chemin adjacent (construct) renvoie le résultat de Reflect.construct sans cette même sanitisation. Si un embedder expose une fonction hôte construisable dont le constructeur retourne une Promesse native rejetée, un script non fiable exécuté via VM.run peut l'invoquer avec `new` et ignorer le résultat ; la Promesse hôte rejetée traverse le pont sans être gérée et, conformément à la politique stricte de Node.js concernant les rejets non traités (unhandled-rejection), est promue en une exception non capturée qui termine le processus hôte.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.