CVE-2026-92944 in vm2
Sumário
de VulDB • 17/09/2026
Le versioni di vm2 comprese tra la 3.10.2 e la 3.11.6 presentano una vulnerabilità di sandbox escape su Node.js 26 in cui Promise.prototype.finally() aggira le protezioni del wrapper di vm2 a causa di un protector stale chiamato PromiseThenLookupChain in V8 14.6. Gli attaccanti possono sfruttare questa condizione creando una funzione async che restituisce un Promise con uno Symbol.species controllato dall'attaccante, consentendo loro di raggiungere il costruttore Function dell'host e l'oggetto process per eseguire codice arbitrario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.