CVE-2026-92956

GitHubCrítica, npm

Fuga de sandbox vm2 via bypass de espécie Promise do WebAssembly.compileStreaming

Traduzido automaticamente do inglês.

Há uma fuga de sandbox no vm2 3.11.5 / HEAD atual quando ele é usado no Node.js 26. O problema é alcançável a partir de um sandbox padrão new VM(). Não é necessário NodeVM, permissão de require, injeção de objeto host ou configuração intencionalmente insegura.

Sem exploração conhecida
Gravidade: Crítica, CVSS 10.0 (v3.1)
EPSS: 0,59% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: vm2 (npm) >= 3.10.1, <= 3.11.6, corrigido em 3.11.7 · GHSA-wjwh-qqvp-g4p4