CVE-2026-106073
Açıklama
Node.js Permission Model dosya sistemi zorlamasındaki bir hata, `fs.realpathSync()` fonksiyonunu gerekli okuma izni kontrolleri olmadan bırakmaktadır. Bu durum, yalnızca `fs.realpathSync.native()` kısmını kapsayan CVE-2026-21715'in eksik bir düzeltmesidir. Sonuç olarak, kısıtlı `--allow-fs-read` ile `--permission` altında çalışan kodlar; dosya varlığını kontrol etmek, sembolik bağlantı hedeflerini çözümlemek ve izin verilen dizinlerin dışındaki dosya sistemi yollarını listelemek için hâlâ `fs.realpathSync()` fonksiyonunu kullanabilir. Bu güvenlik açığı Node.js **26.x**, **24.x** ve **22.x** sürümlerini etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | 22.23.3, 24.22.0, 26.12.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.