CVE-2026-92959 in vm2
Сводка
по VulDB • 17.09.2026
vm2 до версии 3.11.8 не обеспечивает полного применения опции allowAsync: false в VM и NodeVM. Хотя локальный Promise.prototype.then заменяется обработчиком, вызывающим исключение «Async not available», статические методы промисов песочницы (Promise.resolve, Promise.all, Promise.race, Promise.any и Promise.allSettled) всё ещё принимают переданные атакующим thenable-объекты: нативное разрешение промиса выполняет PromiseResolveThenableJob и вызывает метод then кода в песочнице как микрозадачу (microtask), минуя исправленный метод then, поэтому ограничение на асинхронность никогда не применяется. В результате скрипт в песочнице может планировать работу, которая выполняется после возврата из VM.run() или NodeVM.run(), вне настроенного таймаута, продолжая выполняться даже тогда, когда хост считает выполнение завершённым.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.