Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-284

CVE-2026-106073

Node.js Permission Model'de fs.realpathSync için eksik okuma izni denetimi

nodejs node

Düşük 3,3 CVSS 3.0
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
4 gün
Kaydı açan
hackerone

ÖzetTürkçe

Node.js Permission Model dosya sistemi uygulamasındaki bir hata, fs.realpathSync fonksiyonunda gerekli okuma izni denetimlerinin yapılmamasına yol açıyor. Bu, CVE-2026-21715 için yapılan düzeltmenin eksik olduğu anlamına geliyor; önceki düzeltme yalnızca fs.realpathSync.native fonksiyonunu kapsamıştı.

Sonuç olarak, --permission seçeneğiyle ve kısıtlı --allow-fs-read ayarıyla çalışan kod, izin verilen dizinlerin dışındaki dosyaların varlığını kontrol etmek, sembolik bağlantı hedeflerini çözümlemek ve dosya sistemi yollarını listelemek için yine de fs.realpathSync fonksiyonunu kullanabilir.

Bu güvenlik açığı Node.js **26.x**, **24.x** ve **22.x** sürümlerini etkiliyor.

Kaynaktaki açıklama (İngilizce)

A flaw in Node.js Permission Model filesystem enforcement leaves fs.realpathSync() without the required read permission checks. This is an incomplete fix of CVE-2026-21715, which only covered fs.realpathSync.native().

As a result, code running under --permission with restricted --allow-fs-read can still use fs.realpathSync() to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories.

This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
nodejs node ≥ 22.23.3, ≤ 22.23.3 –
≥ 24.22.0, ≤ 24.22.0 –
≥ 26.12.0, ≤ 26.12.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.