CVE-2026-44000

vm2 Node.js üçün açıq mənbəli vm/sandbox-dur. 3.11.0 versiyasından əvvəl, vm2-dəki sandbox sərhəd pozuntusu, host Promise həlli vasitəsilə host obyekt kimliyinin sandbox-a keçməsinə şərait yaradır. Host tərəfdə olan və host obyektinə həll olunan bir Promise sandbox-a təqdim edildikdə, sandbox-ın .then() geri çağırışına (callback) ötürülən dəyər host kimliyini qoruyub saxlayır. Bu, sandbox-a host obyekti ilə birbaşa qarşılıqlı əlaqə qurmağa, o cümlədən host tərəfli WeakMap istifadə edərək kimlik yoxlamaları aparmağa və sandbox daxilindən host obyektinin vəziyyətini dəyişdirməyə imkan verir. Bu davranış, Promise yerinə yetirmə örtüyünün daha güclü cross-realm çevrilmə yolu (from() / proxy wrapping) əvəzinə ensureThis()-dən istifadə etməsi səbəbindən baş verir. Əgər prototip xəritələməsı tapılmazsa, ensureThis() orijinal obyekti qaytarır. Nəticədə, host Promise-ləri tərəfindən həll edilən obyektlər lazımi izolyasiya olmadan sandbox sərhədini keçə bilir. Bu zəiflik 3.11.0 versiyasında aradan qaldırılmışdır.