一、漏洞簡介

 vm2是nodejs 實現的一個沙箱環境，一般用于測試不受信任的 JavaScript 代碼。

 vm2版本3.9.15之前，當發生異步錯誤時，vm2無法正確處理傳遞給“Error.prepareStackTrace”函數的宿主對象，成功利用該漏洞可繞過沙箱保護，并在運行沙箱的主機上遠程執行代碼。

二、影響范圍

vm2版本：<= 3.9.14

三、解決措施

 目前官方已在最新版本中修復了該漏洞，請受影響的用戶盡快升級版本進行防護，最新版本下載鏈接如下：

//github.com/patriksimek/vm2/releases

四、參考鏈接

 //github.com/patriksimek/vm2/security/advisories/GHSA-7jxr-cg7f-gpgv

//github.com/patriksimek/vm2/issues/515

 //gist.github.com/seongil-wi/2a44e082001b959bfe304b62121fb76d