CVE-2024-21896
Publiée le 2024-02-20 · Dernière modification le 2026-06-17
Ce problème affecte les utilisateurs de Node.js 20 et 21 ayant activé le modèle de permissions expérimental. Un attaquant peut contourner les restrictions de sécurité pour lire ou écrire des fichiers arbitraires sur votre système, ce qui pourrait conduire à une compromission complète du système. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, cette faille peut être exploitée à distance via le réseau avec une faible complexité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The permission model protects itself against path traversal attacks by calling path.resolve() on any paths given by the user. If the path is to be treated as a Buffer, the implementation uses Buffer.from() to obtain a Buffer from the result of path.resolve(). By monkey-patching Buffer internals, namely, Buffer.prototype.utf8Write, the application can modify the result of path.resolve(), which leads to a path traversal vulnerability. This vulnerability affects all users using the experimental permission model in Node.js 20 and Node.js 21. Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.