CVE-2026-92937

Traduzido automaticamente do inglês.

JavaScript não confiável executado pelo vm2 pode escapar do sandbox e executar comandos arbitrários no processo Node.js host quando uma Promise exposta pelo host é rejeitada. Trata-se de uma correção incompleta para GHSA-m283-3h24-438v: a reconstrução da rejeição portadora de capacidade do aviso só ocorre por meio deste caminho direto do manipulador de Promise, portanto a indireção de call/apply contorna a proteção que introduziu.

Sem exploração conhecida

Gravidade

Crítica, CVSS 10.0 (v3.1)

EPSS

1,03% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)

Pacotes afetados

• vm2 (npm) = 3.11.6, corrigido em 3.11.7 · GHSA-647f-g98j-qq25