vm2 - это открытый исходный код vm/sandbox для Node.js. До версии 3.11.4, уязвимость выхода из песочницы в vm2 позволяет выполнять произвол…

vm2 - это открытый исходный код vm/sandbox для Node.js. До версии 3.11.4, уязвимость выхода из песочницы в vm2 позволяет выполнять произвольный код в процессе хоста, когда ненадеженный код выполняется с асинхронной поддержкой на время выполнения, разоблачающее WebAssembly JSPI (WebAssembly.promising / WebAssembly.Suspending). В тестируемой конфигурации Promise, поддерживаемый JSPI, может достичь Promise.prototype.finally() таким образом, чтобы обойти ожидаемое затвердевание Promise-вида и подвергать объект отклонения, созданный хозяином, логике видов, контролируемых атакующим, разрушая границу песочницы. Этот вопрос был исправлен в версии 3.11.4.