CVE-2026-100722 in vm2
要約
〜によって VulDB • 2026年09月27日
vm2 3.12.2 より前のバージョンでは、サンドボックスからホストへの construct trap でホスト側の Promise rejection handling が適用されません。BaseHandler では apply trap は返された値に対して markHostPromiseHandled() を呼び出しますが、隣接する construct パスは同じサニタイズ処理を行わず Reflect.construct の結果を返します。コンストラクタがネイティブの rejected な Promise を返す構築可能なホスト関数をエクスポートしている場合、VM.run 経由で実行される信頼できないスクリプトは `new` でそれを呼び出し、その結果を無視できます。rejected なホスト側の Promise は未処理のままブリッジを越え、Node の厳格な unhandled-rejection ポリシーにより、ホストプロセスを終了させる uncaught exception に昇格します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.