CVE-2026-92954

vm2, Node.js içinde güvenilmeyen JavaScript çalıştırmak için kullanılan bir sandbox kütüphanesidir. >= 3.10.0 ve <= 3.11.7 sürümlerinde, ana ortamdan (host realm) sandbox'a döndürülen Promise'ler köprü sınırında işlendi olarak işaretlenmez; yalnızca sandbox içinde oluşturulan Promise'ler bir hata yakalama yöneticisiyle sarmalanır (lib/setup-sandbox.js) ve köprü, yalnızca sandbox kodu .then/.catch/.finally çağırdığında ana ortam tarafındaki hata temizleyicileri yükler. Sonuç olarak, sandbox içinde çalışan kod, reddedilmiş (rejected) bir Promise döndüren bir ana fonksiyon çağırabilir (örneğin NodeVM events yerleşik bileşeni aracılığıyla sunulan events.once() veya gömücü tarafından sağlanan herhangi bir Promise döndüren API) ve dönüş değerini görmezden gelebilir; bu durum ana ortamdaki Promise'in işlenmeden kalmasına neden olur ve Node.js'nin varsayılan işlenmemiş red (unhandled-rejection) davranışı ana işlemin sonlandırılmasına yol açar. Bu, GHSA-hw58-p9xv-2mjh zafiyetinin eksik bir düzeltmesidir. Sorun 3.11.8 sürümünde giderilmiştir.