CVE-2026-92959

3.11.8 versiyasından əvvəlki vm2, VM və NodeVM-də `allowAsync: false` seçimini tam tətbiq etmir. `localPromise.prototype.then` metodu 'Async not available' xətasını qaytaran bir idarəedici ilə əvəz edilsə də, sandbox-ın Promise statik metodları (`Promise.resolve`, `Promise.all`, `Promise.race`, `Promise.any` və `Promise.allSettled`) hələ də hücumçunun təqdim etdiyi thenable obyektlərini mənimsədir: yerli promise həlli `PromiseResolveThenableJob`-u yerinə yetirir və yamalanmış `then` metodundan keçmədən mikrotapşırıqda sandbox-dakı kodun `then` metodunu çağırır, buna görə də asinxron məhdudiyyət heç vaxt tətbiq olunmur. Nəticədə, sandbox-da olan skript `VM.run()` və ya `NodeVM.run()` geri döndükdən sonra və konfiqurasiya edilmiş vaxt limitindən kənarda işləyəcək tapşırıqlar təyin edə bilər ki, bu da host sistem icranın tamamlandığını hesab etdikdən sonra da kodun icrasının davam etməsinə səbəb olur.