CVE-2026-92959 in vm2
要約
〜によって VulDB • 2026年09月17日
vm2 3.11.8 より前のバージョンでは、VM および NodeVM において `allowAsync: false` オプションが完全に適用されていません。ローカルの `Promise.prototype.then` は 'Async not available' をスローするハンドラに置き換えられていますが、サンドボックスの Promise の静的メソッド（`Promise.resolve`, `Promise.all`, `Promise.race`, `Promise.any`, および `Promise.allSettled`）は依然として攻撃者が提供した thenable を吸収します。ネイティブな promise 解決処理では `PromiseResolveThenableJob` が実行され、パッチ済みの `then` メソッドを経由せずにマイクロタスク内でサンドボックス化されたコードの `then` メソッドが呼び出されるため、非同期制限は適用されません。その結果、サンドボックス化されたスクリプトは、VM.run() または NodeVM.run() が返した後かつ設定されたタイムアウトの外側で実行される作業をスケジュールでき、ホストが実行完了とみなした後でも処理が続行されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.