CVE-2026-93603

vm2 3.12.0 versiyasına qədər olan versiyalarda (3.12.1 versiyasında düzəldilib), körpüsünün (lib/bridge.js) apply tələsinə (trap) aid nullish `this` qəbulçusu düzgün idarə edilmir: qumcuya (sandbox) alınmış kod, qəbulçu olmadan host tərəfindən təmin edilən non-strict (sloppy-mode) funksiyanı çağırdıqda — məsələn, `fn()`, ayrılmış metod, `fn.call()`, `fn.apply(undefined)`, `Reflect.apply(fn, undefined, [])` və ya `fn.bind()()` — təyin olunmamış (undefined) qəbulçu birbaşa host çağırışına ötürülür və V8 host sahəsinin qlobal obyektini `this` ilə əvəz edir. Daha sonra vm2 həmin obyekti bükərək qumcuya qaytarır ki, bu da qumcuya alınmış skriptə host qlobalının canlı proksisini verir. Bu, tam qumcu qaçışına (sandbox escape) imkan verir: etibarsız skript `process`-ə çata bilər və host üzərində ixtiyari kodları/əmrləri icra edə bilər (məsələn, `process.getBuiltinModule('child_process').execSync` vasitəsilə). İstismar üçün tətbiqin qumcuya ən azı bir non-strict host funksiyasını açması tələb olunur; strict-mode və ES modulu host funksiyaları buna təsir etmir.