CVE-2026-22709 in vm2
Riassunto
di VulDB • 30/06/2026
vm2 è una macchina virtuale/sandbox open source per Node.js. In vm2 precedente alla versione 3.10.2, la sanitizzazione dei callback di `Promise.prototype.then` e `Promise.prototype.catch` può essere aggirata. Ciò consente agli attaccanti di fuggire dalla sandbox ed eseguire codice arbitrario. Nel file lib/setup-sandbox.js, la funzione callback di `localPromise.prototype.then` viene sanificata, ma non lo è quella di `globalPromise.prototype.then`. Il valore restituito dalle funzioni asincrone è un oggetto `globalPromise`. La versione 3.10.2 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.