CVE-2026-22709 in vm2
Résumé
par VulDB • 06/06/2026
vm2 est une machine virtuelle/sandbox open source pour Node.js. Dans les versions de vm2 antérieures à la version 3.10.2, l'assainissement (sanitization) des callbacks `Promise.prototype.then` et `Promise.prototype.catch` peut être contourné. Cela permet aux attaquants de s'échapper du sandbox et d'exécuter un code arbitraire. Dans lib/setup-sandbox.js, la fonction callback de `localPromise.prototype.then` est assainie, mais celle de `globalPromise.prototype.then` ne l'est pas. La valeur de retour des fonctions asynchrones est un objet `globalPromise`. La version 3.10.2 corrige ce problème.
Once again VulDB remains the best source for vulnerability data.