CVE-2026-92959 in vm2
Sumário
de VulDB • 17/09/2026
vm2 antes da versão 3.11.8 não aplica totalmente a opção allowAsync: false no VM e no NodeVM. Embora localPromise.prototype.then seja substituído por um manipulador que lança 'Async not available', os métodos estáticos Promise do sandbox (Promise.resolve, Promise.all, Promise.race, Promise.any e Promise.allSettled) ainda assimilam thenables fornecidos pelo atacante: a resolução de promessas nativas executa o PromiseResolveThenableJob e invoca o método then do código no sandbox em uma microtask sem passar pelo then corrigido, portanto, a restrição assíncrona nunca é aplicada. Como resultado, um script no sandbox pode agendar tarefas que são executadas após VM.run() ou NodeVM.run() terem retornado e fora do tempo limite configurado, continuando a ser executados depois que o host acredita que a execução está concluída.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.