Mausamrijall

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões anteriores a 3.11.7 **Descrição** O software não aplica a opção `timeout` para códigos executados fora da função síncrona `run()`. Isso ocorre porque o tempo limite envolve apenas a chamada ` runScript()` via `doWithTimeout()` no arquivo `lib/vm.js`. Além disso, `FinalizationRegistry` e `WeakRef` são expostos ao código sandboxed sem modificações. Um invasor pode registrar um callback de limpeza do `FinalizationRegistry` e remover todas as referências fortes ao objeto. Embora a função `run()` possa retornar dentro do tempo limite, o coletor de lixo (garbage collector) do V8 invoca posteriormente o callback de limpeza fora da contabilização do timeout. Um loop infinito dentro desse callback pode bloquear o loop de eventos do host indefinidamente, resultando em negação de serviço. O momento da execução depende do comportamento do coletor de lixo, como pressão de memória ou o uso da flag `--expose-gc`. **Recomendações** Atualize para a versão 3.11.7 ou posterior.