CVE-2026-106071

Một lỗ hổng trong mô hình quyền truy cập filesystem của Node.js có thể cấp quyền truy cập vào các đường dẫn không phù hợp với quy tắc wildcard `--allow-fs-read` hoặc `--allow-fs-write`. Khi đường dẫn yêu cầu ngắn hơn tiền tố của một quy tắc cấp quyền wildcard, quá trình tìm kiếm cây nhị phân dừng so sánh sớm và coi đường dẫn đó là một khớp. Ví dụ, `--allow-fs-read=/etc/passwd.*` cũng cho phép đọc `/etc/passwd`. Điều này yêu cầu quy tắc cấp quyền wildcard phải nằm trực tiếp dưới gốc của cây quyền, ví dụ, khi đó là quy tắc duy nhất cho phạm vi đó. Đây là nguyên nhân gốc khác so với CVE-2026-58043. Lỗ hổng này ảnh hưởng đến Node.js **26.x**.

Bạn tra cứu quá nhanh — thử lại sau 42 giây.

CVSS (NVD)

3.6 · LOW

Loại lỗi (CWE)

CWE-284

EPSS (FIRST)

0.20% khả năng bị khai thác trong 30 ngày