CVE-2024-22018

Nome do software vulnerável e versões afetadas:

Versões 20 a 21 do Node.js

Descrição:

Uma falha no modelo experimental de permissões do Node.js permite que agentes mal-intencionados recuperem estatísticas de arquivos aos quais não têm acesso explícito de leitura quando o sinalizador --allow-fs-read é utilizado. Esse problema decorre de um modelo de permissões inadequado que não restringe as estatísticas de arquivos por meio da API fs.lstat.

Recomendações:

Para as versões 20 e 21 do Node.js, considere desativar o modelo de permissão experimental até que um patch esteja disponível.

Restrinja o acesso à API fs.lstat para minimizar o risco de exploração.

Evite usar o sinalizador --allow-fs-read nos pontos de extremidade da API afetados até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.