CVE-2025-55130
Açıklama
Node.js'in İzinler modelindeki bir hata, saldırganların özel olarak hazırlanmış göreceli sembolik bağlantı (symlink) yollarını kullanarak `--allow-fs-read` ve `--allow-fs-write` kısıtlamalarını atlatmasına olanak tanır. Dizinleri ve sembolik bağlantıları zincirleyerek, yalnızca geçerli dizine erişim izni verilmiş bir betik, izin verilen yolun dışına çıkabilir ve hassas dosyaları okuyabilir. Bu durum beklenen izolasyon garantilerini bozar ve rastgele dosya okuma/yazmaya imkan tanıyarak potansiyel sistem ele geçirilmesine yol açar. Bu güvenlik açığı; Node.js v20, v22, v24 ve v25 sürümlerinde izin modelini kullanan kullanıcıları etkilemektedir.
Nasıl düzeltilir
- nodejs node.js20.20.0, 22.22.0, 24.13.0, 25.3.0 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:2899
- access.redhat.com/errata/RHSA-2026:1843
- access.redhat.com/errata/RHSA-2026:1842
- access.redhat.com/errata/RHSA-2026:2422
- access.redhat.com/errata/RHSA-2026:2421
- access.redhat.com/errata/RHSA-2026:2420
- access.redhat.com/errata/RHSA-2026:2768
- access.redhat.com/errata/RHSA-2026:2767
- access.redhat.com/errata/RHSA-2026:2864
- access.redhat.com/errata/RHSA-2026:2783
- access.redhat.com/errata/RHSA-2026:2782
- access.redhat.com/errata/RHSA-2026:2781
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node.js | 20.0.0 ≤ v < 20.20.0, 22.0.0 ≤ v < 22.22.0, 24.0.0 ≤ v < 24.13.0, 25.0.0 ≤ v < 25.3.0 | 20.20.0, 22.22.0, 24.13.0, 25.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.