Ошибка в применении модели разрешений Node.js позволяет `trace_events.createTracing().enable()` записывать журналы трассировки за пределы `--allow-fs-write`.
Это может привести к нарушению конфиденциальности или обходу намеченной границы безопасности в затронутых конфигурациях.
Эта уязвимость затрагивает Node.js **22.x**, **24.x** и **26.x**.
Показать оригинальное описание (EN)
A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace Logs Outside `--allow-fs-write`. This can lead to confidentiality impact or bypass of the intended security boundary under affected configurations. This vulnerability affects Node.js **22.x**, **24.x**, and **26.x**.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.0