Ошибка в применении файловой системы модели разрешений Node.js оставляет `fs.realpathSync.native()` без необходимых проверок разрешений на чтение, в то время как все сопоставимые функции файловой системы правильно их реализуют.
В результате код, работающий под `--permission` с ограниченным `--allow-fs-read`, всё равно может использовать `fs.realpathSync.native()` для проверки существования файла, разрешения целей символических ссылок и перечисления путей файловой системы за пределами разрешенных каталогов.
Эта уязвимость затрагивает процессы **20.x, 22.x, 24.x и 25.x**, использующие модель разрешений, в которой `--allow-fs-read` намеренно ограничен.
Показать оригинальное описание (EN)
A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync.native()` without the required read permission checks, while all comparable filesystem functions correctly enforce them. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync.native()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-read` is intentionally restricted.
Характеристики атаки
Последствия
Строка CVSS v3.0