Nayeemrmn

O problema afeta o Deno, um runtime de JavaScript, TypeScript e WebAssembly, onde a flag --deny-* não tem precedência sobre a flag --allow-*. Isso resulta em acesso permitido mesmo quando o 'deny' deveria prevalecer. O problema afeta apenas uma combinação específica de flags e não se espera que tenha um impacto significativo nos usuários.

O problema diz respeito a módulos importados dinamicamente por meio de `import()` ou `new Worker`, que podem contornar as verificações de permissão de rede e do sistema de arquivos ao importar estaticamente outros módulos. Um invasor que controle um módulo no gráfico de módulos de um programa poderia iniciar solicitações GET para URLs arbitrárias e, possivelmente, ler o conteúdo desses recursos, ou verificar a existência de caminhos arbitrários no sistema de arquivos e, possivelmente, ler o conteúdo desses arquivos. Essa vulnerabilidade não estava presente em versões anteriores à 1.5.0 e não foi explorada na prática, conforme indicado pela ausência de relatos e pelo comportamento padrão do Deno de exibir uma mensagem de “Download” quando importações remotas são baixadas.