vm2 — это песочница, которая может запускать ненадежный код со встроенными модулями Node. В vm2 существует уязвимость выхода из песочницы для версий до 3.9.17 включительно. Она злоупотребляет неожиданным созданием хост-объекта на основе спецификации Proxy. В результате злоумышленник может обойти защиту песочницы, чтобы получить права удаленного выполнения кода на хосте, на котором запущена песочница. Эта уязвимость была исправлена в выпуске версии 3.9.18 vm2. Пользователям рекомендуется обновиться. Нет известных обходных путей для этой уязвимости.