vm2 versions 3.10.2 through 3.11.6 contain a sandbox escape vulnerability on Node.js 26 where Promise.prototype.finally() bypasses vm2's wrapper protections due to a stale PromiseThenLookupChain protector in V8 14.6. Attackers can exploit this by creating an async function that returns a Promise with an attacker-controlled constructor Symbol.species, allowing them to reach the host Function constructor and process object for arbitrary code execution.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/patriksimek/vm2/commit/4635ddd85839461c8ad791990023a477efefe…
disclosure@vulncheck.com
https://github.com/patriksimek/vm2/commit/7b26e81087ec88c287d9a4812f969d412f327…
disclosure@vulncheck.com
https://github.com/patriksimek/vm2/security/advisories/GHSA-27g9-p43v-cw3v
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/vm2-3.10.2-through-3.11.6-sandbox-escape-v…
disclosure@vulncheck.com