CVE-2026-49406
Açıklama
Deno bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. 2.7.12 sürümünden önce, Deno BYONM modunda (nodeModulesDir: "manual") çalıştırıldığında, modül çözücü bir paketin çözümlenmiş giriş noktasının kendi node_modules/<pkg>/ dizini içinde kaldığını doğrulamıyordu. main alanı .. bölümleri içeren kötü niyetli bir package.json, disk üzerindeki rastgele bir yola çözümlenebiliyordu ve ardından çözücü, --allow-read izin listesine danışmadan bu dosyayı okuyordu. Bu durum, bir require("evil-pkg") çağrısının, doğrudan bir Deno.readTextFileSync(...) çağrısının okunması engellenecek olan bir dosyanın içeriğini döndürmesine olanak tanıyordu. Bu güvenlik açığı 2.7.12 sürümünde giderilmiştir.
Nasıl düzeltilir
- deno deno2.7.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| deno deno | v < 2.7.12 | 2.7.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.