Veille sécuritéBackend & données
P3Critique
Untrusted JavaScript in vm2 can escape the sandbox on Node.js 26 because a stale V8 protector allows `Promise.prototype.finally()` to bypass vm2’s Promise hardening. The advisory reports vm2 3.10.2–3.11.6 as affected on Node.js 26 and identifies 3.11.7 as fixed; upgrade vm2 and avoid running untrusted code on affected configurations until updated.
Node.js
IdentifiantCVE-2026-92944
GravitéCritique
Exploitationnon connue / non déterminée
Correctifvm2 3.11.7
Analyse technique
On Node.js 26, a stale `PromiseThenLookupChain` protector lets `Promise.prototype.finally()` invoke the native `then` path without vm2’s wrapper and Promise-species reset, exposing a host-realm error object and host capabilities.
Impact, versions et correctif
Événement datéNouvel avis GitHub publié le 2026-10-01T15:28:07Z, dans la période demandée; c’est la date de publication retenue.
ImpactUne charge JavaScript non fiable peut sortir du bac à sable et accéder à des capacités du processus hôte.
Versions affectéesvm2 3.10.2–3.11.6 when used with Node.js 26
Version corrigéevm2 3.11.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,84% · percentile 56,4%
Publication2026-10-01T15:28:07Z
Mise à jour2026-10-01T15:28:08Z
Action recommandée
Mettre à niveau vm2 vers 3.11.7. En attendant, ne pas exécuter de code non fiable dans vm2 sur Node.js 26.
Sources
Priorisation DFS : P3 · 1 source(s).