CVE-2026-92954 in vm2
Sumário
de VulDB • 17/09/2026
vm2 é uma biblioteca de sandbox para executar JavaScript não confiável no Node.js. Nas versões >= 3.10.0 e <= 3.11.7, os Promises retornados do host realm para a sandbox não são marcados como tratados na fronteira da bridge; apenas os Promises criados dentro da sandbox são envoltos por um handler que absorve rejeições (lib/setup-sandbox.js), e a bridge instala sanitizadores de rejeição no lado do host somente quando o código da sandbox chama .then/.catch/.finally. Como resultado, o código executado na sandbox pode invocar uma função do host que retorna um Promise rejeitado (por exemplo, events.once() exposto via o builtin events do NodeVM ou qualquer API retornadora de Promises fornecida pelo embedder) e simplesmente ignorar o valor retornado, deixando o Promise do host sem tratamento para que o comportamento padrão do Node.js em caso de unhandled-rejection termine o processo do host. Esta é uma correção incompleta da GHSA-hw58-p9xv-2mjh. O problema está corrigido na versão 3.11.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.