Към съдържанието
Търсене

CVE-2025-55130: nodejs node, заобикаляне на вход и права

7.1

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

A flaw in Node.js’s Permissions model allows attackers to bypass `--allow-fs-read` and `--allow-fs-write` restrictions using crafted relative symlink paths. By chaining directories and symlinks, a script granted access only to the current directory can escape the allowed path and read sensitive files. This breaks the expected isolation guarantees and enables arbitrary file read/write, leading to potential system compromise. This vulnerability affects users of the permission model on Node.js v20, v22, v24, and v25.

Засегнати продукти

  • nodejs node: 20.19.6 до 20.19.6; 22.21.1 до 22.21.1; 24.12.0 до 24.12.0; 25.2.1 до 25.2.1
  • Red Hat Red Hat Enterprise Linux 10: 1:24.13.0-1.el10_1 преди *
  • Red Hat Red Hat Enterprise Linux 10.0 Extended Update Support: 1:22.22.0-1.el10_0 преди *
  • Red Hat Red Hat Enterprise Linux 8: 8100020260116121421.6d880403 преди *
  • Red Hat Red Hat Enterprise Linux 9: 9070020260117213814.rhel9 преди *
  • Red Hat Red Hat Enterprise Linux 9.4 Extended Update Support: 9040020260211171433.rhel9 преди *
  • Red Hat Red Hat Enterprise Linux 9.6 Extended Update Support: 9060020260210180816.rhel9 преди *
  • Red Hat Red Hat Hardened Images: 24.14.1-4.1.hum1 преди *; 24.14.1-4.hum1 преди *

Вид слабост

История

  • 20 януари 2026 Публикувано

Други уязвимости в nodejs node

Първоизточници

CVE-2025-55130: nodejs node, заобикаляне на вход и права | freedomonline.bg