vm2 におけるサンドボックス脱出およびリモートコード実行の脆弱性

サンドボックスライブラリ vm2 において、例外処理のサニタイズ不足に起因する深刻な脆弱性が発見された。ES2022 で導入された Error.cause プロパティのチェックが欠落しており、ホスト側から投げられたエラーが .cause にホストオブジェクト（process など）を参照している場合、サンドボックス内のコードからそのオブジェクトへ直接アクセスが可能となる。この不備により、サンドボックスを完全に脱出し、ホスト環境で任意の OS コマンドを実行できる。公式ドキュメントではサニタイズ済みと謳われていたが、実際には実装が漏れていたことが判明した。