- Son 7 gün
- CWE-284
CVE-2026-106071
Node.js İzin Modelinde Joker Kurallarda Yetkisiz Dosya Sistemi Erişimi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js Permission Model dosya sistemi uygulamasındaki bir hata, joker karakterli bir --allow-fs-read veya --allow-fs-write kuralıyla eşleşmeyen yollara erişim izni verebilmektedir. İstenen yol, joker karakterli iznin önekinden kısa olduğunda radix ağacı araması karşılaştırmayı erken durdurur ve yolu eşleşme olarak değerlendirir. Örneğin, --allow-fs-read=/etc/passwd.* ayarı /etc/passwd dosyasının okunmasına da izin vermektedir. Bu sorunun ortaya çıkması için joker karakterli iznin izin ağacının kökünün doğrudan altında yer alması gerekir; örneğin, bu, ilgili kapsam için tek izin olduğunda gerçekleşir. Bu açık, CVE-2026-58043 ile farklı bir temel nedene sahiptir. Bu güvenlik açığı Node.js **26.x** sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js Permission Model filesystem enforcement can grant access to paths that do not match a wildcard --allow-fs-read or --allow-fs-write rule.
When the requested path is shorter than the prefix of a wildcard grant, the radix tree lookup stops comparing early and treats the path as a match. For example, --allow-fs-read=/etc/passwd.* also allows reading /etc/passwd. This requires the wildcard grant to sit directly under the root of the permission tree, for example when it is the only grant for that scope. This is a different root cause from CVE-2026-58043.
This vulnerability affects Node.js **26.x**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.