vm2 JavaScript沙箱模块背后的开发人员已经解决了一个严重漏洞，跟踪为CVE-2023-29017（CVSS评分 9.8），该漏洞可被利用来执行任意shellcode。
vm2 是一个沙盒，可以在Node.js服务器上的隔离上下文中运行不受信任的代码，它每周有大约400万次下载，它的库是722个包的一部分。
韩国安全公司KAIST WSP Lab的安全研究员Seongil Wi报告了该漏洞。
该漏洞影响所有版本，包括3.9.14和之前的版本，已在3.9.15 版本中解决。
“在未处理的异步错误的情况下，vm2 没有正确处理传递给Error.prepareStackTrace的主机对象。”“威胁行为者可以绕过沙箱保护，在运行沙箱的主机上获得远程代码执行权。”
Wi还针对此漏洞发布了两个概念验证(PoC)漏洞，可用于逃逸沙箱以在主机上创建一个名为“flag”的空文件。
2022年10月，VM2维护人员解决了另一个被跟踪为CVE-2022-36067的严重沙箱逃逸漏洞。
