CVE-2026-21715
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Błąd w egzekwowaniu systemu plików w modelu uprawnień Node.js pozostawia funkcję `fs.realpathSync.native()` bez wymaganych kontroli uprawnień odczytu, podczas gdy wszystkie porównywalne funkcje systemu plików poprawnie je egzekwują. W rezultacie kod działający z `--permission` i ograniczonym `--allow-fs-read` może nadal używać `fs.realpathSync.native()` do sprawdzania istnienia plików, rozwiązywania celów dowiązań symbolicznych i wyliczania ścieżek systemu plików poza dozwolonymi katalogami. Podatność dotyczy procesów Node.js w wersjach 20.x, 22.x, 24.x i 25.x korzystających z modelu uprawnień.
Ocena ryzyka
Ryzyko polega na tym, że aplikacje z ograniczonymi uprawnieniami odczytu mogą uzyskać informacje o plikach i strukturze katalogów poza dozwolonymi obszarami, co może prowadzić do wycieku danych lub ułatwić dalsze ataki.
Rekomendacja
Zaleca się aktualizację Node.js do wersji zawierającej poprawkę lub unikanie używania `fs.realpathSync.native()` w środowiskach z ograniczonymi uprawnieniami odczytu.
Oryginalny opis (angielski, źródło NVD)
A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.