CVE-2026-92959 in vm2
요약
\~에 의해 VulDB • 2026. 09. 17.
vm2 3.11.8 이전 버전은 VM 및 NodeVM에서 allowAsync: false 옵션을 완전히 강제하지 않습니다. localPromise.prototype.then가 'Async not available'를 throw하는 핸들러로 대체되더라도, 샌드박스의 Promise 정적 메서드(Promise.resolve, Promise.all, Promise.race, Promise.any, 그리고 Promise.allSettled)는 여전히 공격자가 제공한 thenable을 흡수합니다. 네이티브 프라미스 해결은 PromiseResolveThenableJob를 실행하고 패치된 then 경로를 거치지 않고 마이크로태스크로 샌드박스화된 코드의 then 메서드를 호출하므로, 비동기 제한이 전혀 적용되지 않습니다. 그 결과, 샌드박스화된 스크립트는 VM.run() 또는 NodeVM.run()이 반환한 후 및 구성된 타임아웃 외부에서 실행되는 작업을 예약할 수 있으며, 호스트가 실행 완료라고 판단한 이후에도 계속 실행됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.