CVE-2026-92934
escape de sandbox vm2 para execução remota de código no host via contornagem revisitada de AggregateError envolvido pelo host que contorna o ciclo de curto-circuito de sanitização de erro
Traduzido automaticamente do inglês.
vm2 3.11.6 (a última versão deste fork) contém uma contornagem de correção incompleta da sanitização de referência do host Error.cause adicionada em GHSA-m283-3h24-438v (commit 7e3faaf). Código de sandbox que captura um AggregateError envolvido pelo host que é *revisitado dentro de uma única travessia handleException* (auto-ciclo, ciclo mútuo ou o mesmo agregado do host referenciado duas vezes em errors[]) recebe um objeto vivo, não sanitizado…
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.5 (v4.0)
- EPSS
- 0,76% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) <= 3.11.7, corrigido em 3.11.8 · GHSA-x965-fc75-jpqh