CVE-2026-21716
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Niekompletna poprawka dla CVE-2024-36137 pozostawia metody `FileHandle.chmod()` i `FileHandle.chown()` w API opartym na obietnicach bez wymaganych kontroli uprawnień, podczas gdy ich odpowiedniki oparte na wywołaniach zwrotnych (`fs.fchmod()`, `fs.fchown()`) zostały poprawnie załatane. W rezultacie kod działający z `--permission` i ograniczonym `--allow-fs-write` może nadal używać metod `FileHandle` opartych na obietnicach do modyfikowania uprawnień i właściciela plików na już otwartych deskryptorach, omijając zamierzone ograniczenia zapisu. Podatność dotyczy procesów Node.js w wersjach 20.x, 22.x, 24.x i 25.x korzystających z modelu uprawnień.
Ocena ryzyka
Ryzyko polega na tym, że aplikacje działające z ograniczonymi uprawnieniami zapisu mogą nadal modyfikować uprawnienia i właściciela plików, co może prowadzić do eskalacji uprawnień lub naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację Node.js do wersji zawierającej pełną poprawkę lub zastosowanie obejścia polegającego na unikaniu metod opartych na obietnicach w środowiskach z ograniczonymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
An incomplete fix for CVE-2024-36137 leaves `FileHandle.chmod()` and `FileHandle.chown()` in the promises API without the required permission checks, while their callback-based equivalents (`fs.fchmod()`, `fs.fchown()`) were correctly patched. As a result, code running under `--permission` with restricted `--allow-fs-write` can still use promise-based `FileHandle` methods to modify file permissions and ownership on already-open file descriptors, bypassing the intended write restrictions. This vulnerability affects **20.x, 22.x, 24.x, and 25.x** processes using the Permission Model where `--allow-fs-write` is intentionally restricted.