Aller au contenu
en Se connecter
7.1 Élevée

CVE-2025-55130 A flaw in Node.js’s Permissions model allows attackers to bypass `--allow-fs-read` and `--allow-fs-write` restrictions…

Description

A flaw in Node.js’s Permissions model allows attackers to bypass `--allow-fs-read` and `--allow-fs-write` restrictions using crafted relative symlink paths. By chaining directories and symlinks, a script granted access only to the current directory can escape the allowed path and read sensitive files. This breaks the expected isolation guarantees and enables arbitrary file read/write, leading to potential system compromise. This vulnerability affects users of the permission model on Node.js v20, v22, v24, and v25.

Produits et versions touchés

Produit Versions touchées Corrigé en
Node 25.2.1 Pas de correctif indiqué
Node 24.12.0 Pas de correctif indiqué
Node 22.21.1 Pas de correctif indiqué
Node 20.19.6 Pas de correctif indiqué
Red Hat Enterprise Linux AppStream EUS (v. 10.0) Versions non publiées
Red Hat Enterprise Linux AppStream (v. 10) Versions non publiées
Red Hat Enterprise Linux AppStream (v. 8) Versions non publiées
Red Hat Enterprise Linux AppStream EUS (v.9.4) Versions non publiées
Red Hat Enterprise Linux AppStream EUS (v.9.6) Versions non publiées
Afficher les 8 autres branches
Produit Versions touchées Corrigé en
Red Hat Enterprise Linux AppStream (v. 9) Versions non publiées
Red Hat Hardened Images 22.22 premières → < 22.22.0-1.3.hum1 22.22.0-1.3.hum1
Red Hat Enterprise Linux 10 Versions non publiées
Red Hat Enterprise Linux 10.0 Extended Update Support Versions non publiées
Red Hat Enterprise Linux 8 8100020260119100525.489197 premières → < 8100020260119100525.489197e6 8100020260119100525.489197e6
Red Hat Enterprise Linux 9 9070020260117213748 premières → < 9070020260117213748.rhel9 9070020260117213748.rhel9
Red Hat Enterprise Linux 9.4 Extended Update Support 9040020260211171433 premières → < 9040020260211171433.rhel9 9040020260211171433.rhel9
Red Hat Enterprise Linux 9.6 Extended Update Support 9060020260210120402 premières → < 9060020260210120402.rhel9 9060020260210120402.rhel9

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de Node

Les 129 CVE de Node →
CVE-2026-106073 A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync()` without the required read… 3.3 Faible CVE-2026-105481 A flaw in Node.js HTTP Agent connection reuse can cause a client to accept as valid a response that was sent before… 6.5 Moyenne CVE-2026-106074 A flaw in Node.js `crypto` causes the internal entropy caches used by `crypto.randomUUID()`, `crypto.randomUUIDv7()`,… 4.8 Moyenne CVE-2026-105483 A flaw in Node.js TLS hostname verification allows a certificate without a matching IP address SAN to authenticate a… 7.4 Élevée
Suivre cette CVE