CVE-2026-92954

Nome do Software Vulnerável e Versões Afetadas vm2 versões 3.10.0 through 3.11.7

Description Promises retornadas do reino do host para o sandbox não são marcadas como manipuladas na fronteira da ponte. Enquanto Promises criadas dentro do sandbox são envolvidas por um manipulador de supressão de rejeição em lib/setup-sandbox.js, a ponte apenas instala sanitizadores de rejeição do lado do host quando o código do sandbox chama .then, .catch ou .finally. Consequentemente, o código executado no sandbox pode invocar uma função do host que retorne uma Promise rejeitada, como events.once() exposta via builtin de eventos do NodeVM ou outras APIs de retorno de Promise fornecidas pelo incorporador, e simplesmente ignorar o valor de retorno. Isso deixa a Promise do host não manipulada, acionando o comportamento padrão de rejeição não manipulada do Node.js, que encerra o processo do host.

Recommendations Atualize o vm2 para a versão 3.11.8.