Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-04838

Опубликовано: 24 мар. 2026
Источник: fstec
CVSS3: 3.3
CVSS2: 1.7
EPSS Низкий

Описание

Уязвимость функции fs.realpathSync.native() программной платформы Node.js связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Вендор

Сообщество свободного программного обеспечения
Node.js Foundation

Наименование ПО

Debian GNU/Linux
Node.js

Версия ПО

13 (Debian GNU/Linux)
до 25.8.2 (Node.js)
до 24.14.1 (Node.js)
до 22.22.2 (Node.js)
до 20.20.2 (Node.js)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 1,7)
Низкий уровень опасности (базовая оценка CVSS 3.1 составляет 3,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://nodejs.org/en/blog/vulnerability/march-2026-security-releases
https://nodejs.org/en/blog/release/v25.8.2/
https://nodejs.org/en/blog/release/v24.14.1/
https://nodejs.org/en/blog/release/v22.22.2/
https://nodejs.org/en/blog/release/v20.20.2/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2026-21715

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 5%
0.00158
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2

Связанные уязвимости

CVSS3: 3.3
ubuntu
4 месяца назад

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.

CVSS3: 3.3
redhat
4 месяца назад

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.

CVSS3: 3.3
nvd
4 месяца назад

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.

CVSS3: 3.3
msrc
4 месяца назад

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.

CVSS3: 3.3
debian
4 месяца назад

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.r ...

EPSS

Процентиль: 5%
0.00158
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2