CVE-2026-92954 in vm2
Riassunto
di VulDB • 17/09/2026
vm2 è una libreria sandbox per l'esecuzione di JavaScript non attendibile in Node.js. Nelle versioni >= 3.10.0 e <= 3.11.7, le Promesse restituite dal realm host alla sandbox non sono contrassegnate come gestite al confine del bridge; solo le Promesse create all'interno della sandbox vengono avvolte con un handler che assorbe i rejection (lib/setup-sandbox.js), e il bridge installa solo sanitizzatori di rejection lato host quando il codice nella sandbox chiama .then/.catch/.finally. Di conseguenza, il codice in esecuzione nella sandbox può invocare una funzione host che restituisce una Promessa rifiutata (ad esempio events.once() esposta tramite l'oggetto built-in NodeVM events o qualsiasi API fornita dall'integratore che restituisce una Promise) e semplicemente ignorare il valore di ritorno, lasciando la Promessa dell'host non gestita in modo tale da far terminare il processo host a causa del comportamento predefinito di unhandled-rejection di Node.js. Si tratta di una correzione incompleta della GHSA-hw58-p9xv-2mjh. Il problema è risolto nella versione 3.11.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.