vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.3 можно поймать исключение хоста, используя экспрессию выходного * внут…

vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.3 можно поймать исключение хоста, используя экспрессию выходного * внутри генератора асинхрона. Когда генератор закрыт с помощью функции возврата, значение ожидается, и исключения, брошенные в то время вызов, будут пойманы временем выполнения и переданы итератору выходного * в качестве следующего значения. Это позволяет злоумышленникам писать код, который может вырваться из песочницы VM2 и выполнить произвольные команды в системе хоста. Эта уязвимость исправлена в 3.11.3.