CVE-2026-92956

Nome do Software Vulnerável e Versões Afetadas vm2 versões 3.10.1 through 3.11.6

Description Existe um escape de sandbox ao ser executado no Node.js 26. O problema ocorre porque WebAssembly.compileStreaming e WebAssembly.instantiateStreaming podem produzir uma Promise de realm do host bruta que é rejeitada com um objeto de erro de realm do host. Ao controlar Symbol.species via Promise.prototype.finally, o código do sandbox pode obter esse erro bruto do host, navegar do construtor de erro do host para o construtor de Function do host e recuperar o objeto process do host. Isso permite que o invasor obtenha capacidades do Node.js do host, como acesso a módulos do host como fs, dentro do processo que executa o sandbox. Este escape é possível usando um sandbox new VM() padrão e não requer NodeVM, permissões de require, injeção de objetos do host ou qualquer configuração insegura.

Recommendations Atualizar para a versão 3.11.7.