7.9
Élevée
CVE-2024-21891 Node.js depends on multiple built-in utility functions to normalize paths provided to node:fs functions, which can be…
Description
Node.js depends on multiple built-in utility functions to normalize paths provided to node:fs functions, which can be overwitten with user-defined implementations leading to filesystem permission model bypass through path traversal attack. This vulnerability affects all users using the experimental permission model in Node.js 20 and Node.js 21. Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| nodejs | 21.6.0 | Pas de correctif indiqué |
| nodejs | 20.11.0 | Pas de correctif indiqué |
| Node 21.0 | 21.0 → < 21.6.2 | 21.6.2 |
| Node 20.0 | 20.0 → < 20.11.1 | 20.11.1 |
| Node 19.0 | 19.0 → dernières | Pas de correctif indiqué |
| Node 17.0 | 17.0 → dernières | Pas de correctif indiqué |
| Node 16.0 | 16.0 → dernières | Pas de correctif indiqué |
| Node 15.0 | 15.0 → dernières | Pas de correctif indiqué |
| Node 14.0 | 14.0 → dernières | Pas de correctif indiqué |
Afficher les 10 autres branches Masquer les 10 autres branches
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Node 13.0 | 13.0 → dernières | Pas de correctif indiqué |
| Node 12.0 | 12.0 → dernières | Pas de correctif indiqué |
| Node 11.0 | 11.0 → dernières | Pas de correctif indiqué |
| Node 10.0 | 10.0 → dernières | Pas de correctif indiqué |
| Node 9.0 | 9.0 → dernières | Pas de correctif indiqué |
| Node 8.0 | 8.0 → dernières | Pas de correctif indiqué |
| Node 7.0 | 7.0 → dernières | Pas de correctif indiqué |
| Node 6.0 | 6.0 → dernières | Pas de correctif indiqué |
| Node 5.0 | 5.0 → dernières | Pas de correctif indiqué |
| Node 4.0 | 4.0 → dernières | Pas de correctif indiqué |
Références
- hackerone.com hackerone.com
- security.netapp.com security.netapp.com
- www.openwall.com www.openwall.com
Chronologie
- Publiée
- Dernière modification
Autres CVE de nodejs
Les 16 CVE de nodejs →
CVE-2025-27210
An incomplete fix has been identified for CVE-2025-23084 in Node.js, specifically affecting Windows device names like…
7.5
Élevée
CVE-2023-46809
Node.js versions which bundle an unpatched version of OpenSSL or run against a dynamically linked version of OpenSSL…
7.4
Élevée
CVE-2024-36138
Bypass incomplete fix of CVE-2024-27980, that arises from improper handling of batch files with all possible…
8.1
Élevée
CVE-2023-39333
Maliciously crafted export names in an imported WebAssembly module can inject JavaScript code
5.3
Moyenne