vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.0 уязвимость выхода из песчаной коробки в vm2 v3.10.5 позволяет любому …

vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.0 уязвимость выхода из песчаной коробки в vm2 v3.10.5 позволяет любому песочному коду сбивать процесс Host Node.js через один конструктор Promise, который вызывает безудержное отторжение, распространяющее на хост. Исправление для CVE-2026-22709 (v3.10.2) только дезинфицировало onRejected callback in .then() и .catch() и не касалось пути от исполнителя до необращения. Эта уязвимость фиксируется в 3.11.0.