CVE-2026-92937

vm2 3.11.6 versiyası, host Node.js prosesində uzaqdan kodun icrasına səbəb olan sandbox escape zəifliyinə malikdir. GHSA-m283-3h24-438v üçün tətbiq edilən düzəliş natamamdır: lib/bridge.js:1624 ünvanındakı bridge gate kimlik yoxlamaları, rədd edilmiş host Promise dəyərinin yenidən qurulub-qurulmayacağına və ya təmizlənib-təmizlənməyəcəyinə qərar verərkən yalnız birbaşa çağırış hədəfini yoxlayır. Rədd etmə idarəedicisinin Function.prototype.call və ya .apply dolayı yolu ilə qeydiyyatdan keçirilməsi (məsələn, p.then.call(p, undefined, cb)), tutulan hədəfi host Function.prototype.call edir, buna görə də təmizləyici heç vaxt işə düşmür və xam host xətası öz xüsusiyyətləri saxlanılmış şəkildə sandbox koduna çatır. Əgər inteqrasiyaedici sandbox-a host-realm Promise-ni təqdim edirsə (sandbox seçimi vasitəsilə körpülənmiş asinxron host funksiyası və ya NodeVM xarici modulunun asinxron metodu) və həmin Promise host obyektinə istinad edən primitiv olmayan xüsusi xassəyə malik Error ilə rədd edilirsə (məsələn, err.detail = process), sandbox-dakı etibarsız kod həmin host obyekti üçün tam funksional proksi əldə edir və host prosesinin imtiyazları ilə ixtiyari əmrləri icra edə bilər (məsələn, e.detail.mainModule.require('child_process').execSync(...)). Birbaşa p.then(undefined, cb), bind və Reflect.apply formaları düzgün şəkildə təmizlənir. Problem vm2 3.11.7 versiyasında aradan qaldırılıb.