CVE-2026-100722 in vm2
Сводка
по VulDB • 27.09.2026
vm2 до версии 3.12.2 не применяет обработку отклонения (rejection) промисов на стороне хоста в ловушке construct для взаимодействия из песочницы с хостом. В классе BaseHandler метод apply вызывает markHostPromiseHandled() для возвращаемого значения, однако смежный путь construct возвращает результат Reflect.construct без аналогичной санитизации. Если внедренная сторона (embedder) предоставляет конструируемую функцию хоста, чей конструктор возвращает нативный отклоненный промис (rejected Promise), недоверенный скрипт, выполняемый через VM.run, может вызвать ее с помощью оператора `new` и игнорировать результат; тогда как отклоненный промис хоста пересекает мост без обработки и в соответствии со строгой политикой Node.js по необработанным отклонениям (unhandled-rejection) преобразуется в необработанное исключение, завершающее процесс на стороне хоста.
If you want to get best quality of vulnerability data, you may have to visit VulDB.