CVE-2026-100722

Nome do Software Vulnerável e Versões Afetadas vm2 versões anteriores a 3.12.2

Description O software falha ao aplicar o tratamento de rejeição de Promise do lado do host no trap de construção sandbox-to-host. No componente BaseHandler, o trap apply utiliza a função markHostPromiseHandled() para sanitizar os valores retornados, mas o caminho de construção retorna o resultado de Reflect.construct() sem essa sanitização. Se uma função de host construtível for exposta e seu construtor retornar uma Promise rejeitada nativa, um script não confiável pode invocá-la usando o operador new. Isso permite que uma Promise de host rejeitada permaneça não tratada, a qual o Node.js trata como uma exceção não capturada, levando ao encerramento do processo do host.

Recommendations Atualize o vm2 para a versão 3.12.2 ou posterior.