Vulnerabilidade crítica no vm2 permite execução de código arbitrário
Uma vulnerabilidade de severidade crítica foi identificada na biblioteca vm2, utilizada para criar um ambiente seguro para a execução de código JavaScript não confiável. A falha, rastreada como CVE-2026-22709, permite que atacantes escapem do sandbox e executem código arbitrário no sistema host. A biblioteca, que já foi amplamente utilizada em mais de 200 mil projetos no GitHub, foi descontinuada em 2023 devido a repetidas vulnerabilidades de escape de sandbox. No entanto, em outubro de 2023, o mantenedor Patrik Šimek decidiu reviver o projeto, lançando a versão 3.10.0, que corrigiu várias vulnerabilidades conhecidas. A nova falha surge da falha na sanitização adequada de ‘Promises’, permitindo que funções assíncronas retornem uma Promise global com callbacks que não são devidamente sanitizados. O mantenedor informou que a versão 3.10.1 abordou parcialmente a vulnerabilidade, enquanto a versão 3.10.2 aperfeiçoou a correção. Dada a facilidade de exploração da CVE-2026-22709, é recomendado que os usuários atualizem para a versão mais recente imediatamente. A biblioteca continua a ser popular, com cerca de um milhão de downloads semanais.