CVE-2024-21896

İcazə modeli, istifadəçi tərəfindən təqdim edilən hər hansı yola path.resolve() funksiyasını tətbiq etməklə özünü yol keçirilməsi (path traversal) hücumlarından qoruyur. Əgər yol Buffer kimi dəyərləndirilməlidirsə, implementasiya path.resolve() nəticəsindən Buffer əldə etmək üçün Buffer.from() metodundan istifadə edir. Tətbiq, Buffer daxili strukturuna, xüsusilə Buffer.prototype.utf8Write hissəsinə monkey-patching tətbiq etməklə path.resolve() nəticəsini dəyişdirə bilər ki, bu da yol keçirilməsi zəifliyinə səbəb olur. Bu zəiflik Node.js 20 və Node.js 21 versiyalarında eksperimental icazə modelindən istifadə edən bütün istifadəçilərə təsir edir. Nəzərə alın ki, bu CVE yayımlandığı vaxtda icazə modeli Node.js-in eksperimental xüsusiyyəti idi.