CVE-2026-56847

NiskieCVSS 3.3

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W Node.js wykryto błąd w egzekwowaniu modelu uprawnień: funkcja trace_events.createTracing().enable() zapisuje pliki dziennika śledzenia poza dozwolonym obszarem zapisu (--allow-fs-write).

Ocena ryzyka

Atakujący może ominąć ograniczenia modelu uprawnień, co może prowadzić do wycieku poufnych danych lub naruszenia granicy bezpieczeństwa.

Rekomendacja

Zaktualizuj Node.js do najnowszej wersji łatającej dla swojego kanału (22.x, 24.x lub 26.x).

Oryginalny opis (angielski, źródło NVD)

A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace Logs Outside `--allow-fs-write`. This can lead to confidentiality impact or bypass of the intended security boundary under affected configurations. This vulnerability affects Node.js **22.x**, **24.x**, and **26.x**.