p PatchFirst

CVE-2026-44001

CVE-2026-44001 · vm2: Sandbox Escape via Promise Constructor Unhandled Rejection (Process Crash DoS)

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

vm2 is an open source vm/sandbox for Node.js. Prior to 3.11.0, a sandbox escape vulnerability in vm2 v3.10.5 allows any sandboxed code to crash the host Node.js process via a single Promise constructor that triggers an unhandled rejection propagating to the host. The fix for CVE-2026-22709 (v3.10.2) only sanitized the onRejected callback in .then() and .catch() overrides and did not address the executor-to-unhandledRejection path. This vulnerability is fixed in 3.11.0.

CVSS 8.6 · Alta · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • vm2

    Versiones
    • < 3.11.0: Afectada

    Sin corrección publicada

  • vm2 npm

    Intervalos de versiones afectados
    • SEMVER: < 3.11.0

    Actualiza a 3.11.0

Fuentes originales

Comprueba tu servidor →