CVE-2026-47686

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.11.6

Description Na função handleException() em lib/setup-sandbox.js, o software falha ao sanitizar a propriedade Error.cause introduzida no ES2022. Embora a função sanitize recursivamente SuppressedError.error, SuppressedError.suppressed e AggregateError.errors, ela ignora Error.cause. Isso permite que o código do sandbox obtenha uma referência a um objeto host poderoso, como o process, caso uma função do host exposta pelo incorporador lance um erro com esse objeto atribuído à variável cause. Um invasor pode utilizar essa referência para escapar do sandbox e executar comandos arbitrários no sistema host.

Recommendations Atualize o vm2 para a versão 3.11.6.