CVE-2026-47210
Publiée le 2026-06-12 · Dernière modification le 2026-10-26
Les applications Node.js utilisant la bibliothèque de bac à sable `vm2` (versions antérieures à la v3.11.4) sont vulnérables à une évasion de bac à sable lors de l'exécution de code non approuvé avec le support asynchrone sur des environnements d'exécution exposant WebAssembly JSPI. Un attaquant peut ainsi contourner les limites de sécurité pour exécuter du code arbitraire directement sur le système hôte avec les permissions du processus Node.js. Cette exploitation est très accessible, nécessitant uniquement un accès réseau à l'application, sans authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
vm2 is an open source vm/sandbox for Node.js. Prior to version 3.11.4, a sandbox escape vulnerability in vm2 allows arbitrary code execution in the host process when untrusted code is executed with async support on runtimes exposing WebAssembly JSPI (WebAssembly.promising / WebAssembly.Suspending). In the tested configuration, a JSPI-backed Promise can reach Promise.prototype.finally() in a way that bypasses the expected Promise-species hardening and exposes a host-originated rejection object to attacker-controlled species logic, breaking the sandbox boundary. This issue has been patched in version 3.11.4.