CVE-2026-49406
Təsvir
Deno JavaScript, TypeScript və WebAssembly mühitidir (runtime). 2.7.12 versiyasından əvvəl, Deno BYONM rejimində (nodeModulesDir: "manual") işlədilərkən, modul həlledicisi (module resolver) paketin təyin edilmiş giriş nöqtəsinin onun node_modules/<pkg>/ kataloqu daxilində qaldığını yoxlamırdı. "main" sahəsi ".." seqmentlərini ehtiva edən zərərli package.json faylı disklə Arbitrary Path-ə yönləndirilə bildiyi üçün həlledicisi --allow-read ağ siyahısına baxmadan həmin faylı oxuyurdu. Bu, require("evil-pkg") çağırışının, birbaşa Deno.readTextFileSync(...) çağırışı ilə oxunması bloklanacaq olan faylın məzmununu qaytarmasına şərait yaradırdı. Bu boşluq 2.7.12 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- deno deno2.7.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| deno deno | v < 2.7.12 | 2.7.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.