FICHE CVE

CVE-2026-22709

Publiée le 2026-01-26 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le bac à sable `vm2` pour Node.js sont concernées. Un attaquant peut contourner les restrictions du bac à sable pour exécuter du code arbitraire sur le système hôte. Cette attaque est facile à réaliser, ne nécessitant qu'un accès réseau, sans authentification ni interaction de l'utilisateur.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Publiée2026-01-26

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

vm2 is an open source vm/sandbox for Node.js. In vm2 prior to version 3.10.2, `Promise.prototype.then` `Promise.prototype.catch` callback sanitization can be bypassed. This allows attackers to escape the sandbox and run arbitrary code. In lib/setup-sandbox.js, the callback function of `localPromise.prototype.then` is sanitized, but `globalPromise.prototype.then` is not sanitized. The return value of async functions is `globalPromise` object. Version 3.10.2 fixes the issue.