CVE-2026-106073
Beschrijving NL
Een fout in Node.js Permission Model filesystem enforcement laat `fs.realpathSync ()` achter zonder de vereiste leesmachtigingscontroles. Dit is een onvolledige fix van CVE-2026-21715, die alleen betrekking had op `fs.realpathSync.native()`. Als gevolg hiervan kan code die wordt uitgevoerd onder `--permission` met beperkte `--allow-fs-read` nog steeds 'fs.realpathSync ()` gebruiken om het bestaan van het bestand te controleren, symlink-doelen op te lossen en bestandssysteempaden op te sommen buiten de toegestane mappen. Deze kwetsbaarheid treft Node.js **26.x**, **24.x** en **22.x**.
Origineel (Engels) tonen
A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync()` without the required read permission checks. This is an incomplete fix of CVE-2026-21715, which only covered `fs.realpathSync.native()`.
As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.