CVE-2026-49983

Deno bir JavaScript, TypeScript ve WebAssembly çalışma zamanıdır. 2.8.1 sürümünden önce, ortam erişimi env izni ile sınırlandırılmıştır. Bu izin --deny-env ile reddedilebilir veya --allow-env=FOO,BAR ile belirli bir izin verilenler listesiyle kısıtlanabilir. Beklenti, env izni olmadan çalışan bir programın process.env değerini değiştirememesidir. process.loadEnvFile() (.env dosyasından değişkenleri yüklemek için kullanılan Node uyumlu API), bu sınırlamaya uymamaktadır. Yalnızca programın dotenv dosyası için okuma iznine sahip olup olmadığını kontrol eder ve ardından env erişimi reddedilmiş olsa bile söz konusu dosyadaki her anahtarı süreç ortamına yazar. Sonuç olarak, --allow-read izni ile birlikte yazılabilir veya saldırgan tarafından kontrol edilen bir .env dosyası, --deny-env korumasını aşmak için yeterlidir. Bu güvenlik açığı 2.8.1 sürümünde giderilmiştir.