CVE-2026-49983
ŚrednieCVSS 5.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 — wyżej niż 1% wszystkich znanych CVE
Streszczenie
W Deno przed wersją 2.8.1 funkcja process.loadEnvFile() nie respektuje ograniczeń uprawnień środowiskowych (--deny-env). Pozwala to na zapisanie zmiennych z pliku .env do procesu nawet gdy dostęp do środowiska jest zabroniony.
Ocena ryzyka
Atakujący z dostępem do zapisu lub kontroli nad plikiem .env może ominąć zabezpieczenia --deny-env i wstrzyknąć dowolne zmienne środowiskowe, co może prowadzić do eskalacji uprawnień lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować Deno do wersji 2.8.1 lub nowszej. Do czasu aktualizacji unikać używania process.loadEnvFile() w środowiskach z ograniczonym dostępem do zmiennych środowiskowych.
Oryginalny opis (angielski, źródło NVD)
Deno is a JavaScript, TypeScript, and WebAssembly runtime. Prior to 2.8.1, environment access is gated by the env permission. You can deny it with --deny-env, or restrict it to a specific allowlist with --allow-env=FOO,BAR. The expectation is that a program running without env permission cannot change process.env. process.loadEnvFile() (the Node-compatible API for loading variables from a .env file) does not honor this. It only checks that the program has read permission for the dotenv file, then writes every key in that file into the process environment — even when env access is denied. In effect, --allow-read plus a writable or attacker-controlled .env file is enough to defeat --deny-env. This vulnerability is fixed in 2.8.1.