CVE-2026-92954
vm2: A rejeição de Promise retornada pelo host pode contornar o endurecimento de rejeição não tratada do vm2 e encerrar o processo host
Traduzido automaticamente do inglês.
vm2 atual head (v3.11.5, commit 7a1f5100b96f48d34e0fe104ab37c0acc5944f92) ainda pode ser usado para encerrar o processo Node.js host quando o código de sandbox chama uma função do host-realm que retorna uma Promise rejeitada do host e, em seguida, ignora o valor retornado.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0)
- EPSS
- 0,49% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- vm2 (npm) >= 3.10.0, <= 3.11.7, corrigido em 3.11.8 · GHSA-gjq8-xm47-88rc