CVE-2026-49983

إصدارات Deno الأقدم من 2.8.1

تتم إدارة الوصول إلى البيئة من خلال إذن env، والذي يمكن تقييده عبر --deny-env أو قائمة السماح باستخدام --allow-env=FOO,BAR. تفشل الدالة process.loadEnvFile()، وهي واجهة برمجة تطبيقات (API) متوافقة مع Node لتحميل المتغيرات من ملف .env، في الالتزام بهذه القيود. فهي تتحقق فقط من أن البرنامج يمتلك إذن القراءة لملف dotenv، ثم تقوم بعد ذلك بكتابة كل مفتاح من ذلك الملف في بيئة العملية، حتى لو تم رفض الوصول إلى البيئة صراحةً. وبالتالي، فإن الجمع بين --allow-read وملف .env قابل للكتابة أو خاضع لسيطرة المهاجم يسمح بتجاوز --deny-env.

قم بالتحديث إلى الإصدار 2.8.1.

كحل مؤقت، تجنب استخدام الدالة process.loadEnvFile() حتى يتم تطبيق التحديث.