CVE-2026-92954

vm2, Node.js-də etibarsız JavaScript kodlarını işlətmək üçün nəzərdə tutulmuş sandbox kitabxanasıdır. >= 3.10.0 və <= 3.11.7 versiyalarda, host sahəsindən sandbox-a qaytarılan Promise-lər körpü sərhədində idarə olunmuş kimi qeyd edilmir; yalnız sandbox daxilində yaradılan Promise-lər rəddetməni udan (rejection-swallowing) bir handler ilə əhatə olunur (lib/setup-sandbox.js) və körpü yalnız sandbox kodu .then/.catch/.finally metodlarını çağırdıqda host tərəfli rəddetmə sanitarizatorlarını quraşdırır. Nəticə etibarilə, sandbox-da işləyən kod, rədd edilmiş Promise qaytaran host funksiyasını (məsələn, NodeVM events daxili modulu vasitəsilə təqdim olunan events.once() və ya hər hansı embedder tərəfindən təmin edilən Promise qaytaran API) çağıra və geri dönən dəyəri sadəcə görməzdən gələ bilər. Bu, host Promise-nin idarə olunmamış qalmasına səbəb olur və Node.js-in standart unhandled-rejection davranışı host prosesini dayandırır. Bu, GHSA-hw58-p9xv-2mjh boşluğunun natamam düzəlişidir. Problem 3.11.8 versiyasında aradan qaldırılmışdır.