CVE-2026-106073

Trong mô hình quyền của Node.js, một lỗ hổng trong việc thực thi filesystem để `fs.realpathSync()` không có kiểm tra quyền đọc cần thiết. Đây là một sửa chữa không hoàn chỉnh của CVE-2026-21715, chỉ bao gồm `fs.realpathSync.native()`. Do đó, mã chạy dưới `--permission` với quyền đọc filesystem bị hạn chế `--allow-fs-read` vẫn có thể sử dụng `fs.realpathSync()` để kiểm tra tồn tại của tệp, giải quyết mục tiêu của symlink và liệt kê các đường dẫn filesystem bên ngoài các thư mục được phép. Lỗ hổng này ảnh hưởng đến Node.js **26.x**, **24.x**, và **22.x**.

Bạn tra cứu quá nhanh — thử lại sau 12 giây.

CVSS (NVD)

3.3 · LOW

Loại lỗi (CWE)

CWE-284

EPSS (FIRST)

0.25% khả năng bị khai thác trong 30 ngày