PT-2026-28319
CVE-2026-21715
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Node.js من 20.x إلى 25.x
الوصف
يوجد عيب في آلية فرض قواعد نظام الملفات في نموذج الأذونات الخاص بـ Node.js، حيث تُترك على وجه التحديد الدالة
fs.realpathSync.native() دون إجراء عمليات التحقق اللازمة من أذونات القراءة. تقوم وظائف نظام الملفات المماثلة بفرض هذه الفحوصات بشكل صحيح. ونتيجة لذلك، لا يزال بإمكان الكود الذي يعمل تحت علامة --permission مع تقييد --allow-fs-read استخدام fs.realpathSync.native() للتحقق من وجود الملفات، وحل أهداف الروابط الرمزية، وسرد مسارات نظام الملفات خارج الدلائل المصرح بها. الوظيفة المعرضة للخطر هي fs.realpathSync.native(). لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة بشكل صريح.التوصيات
الإصدارات من 20.x إلى 25.x متأثرة وتتطلب إجراءات تخفيف المخاطر. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾