CVE-2026-92956 in vm2
Sumário
de VulDB • 17/09/2026
As versões do vm2 de 3.10.1 a 3.11.6 contêm uma falha de escape da sandbox, acessível a partir de uma sandbox `new VM()` padrão ao ser executada no Node.js 26. O WebAssembly.compileStreaming e o WebAssembly.instantiateStreaming podem produzir um Promise do host-realm bruto que é rejeitado com um objeto de erro do host-realm; ao controlar o Symbol.species via Promise.prototype.finally, o código da sandbox recebe esse erro bruto do host, percorre desde o construtor do erro do host até o construtor Function do host e recupera o verdadeiro objeto `process` do host, obtendo as capacidades do Node.js do host (por exemplo, acesso a módulos do host como fs) no contexto do processo que executa a sandbox. Não é necessário nenhum NodeVM, permissão de require, injeção de objetos do host ou outra configuração insegura. Esta falha contorna a correção para GHSA-6j2x-vhqr-qr7q, que removeu os pontos de entrada JSPI WebAssembly.promising e WebAssembly.Suspending. O problema está corrigido na versão 3.11.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.