🇰🇷 한글 설명
Node.js의 권한 모델 문서에서 와일드카드 사용 시 파일 경로의 마지막 문자로만 사용해야 한다는 점을 명확히 설명하지 않았습니다. 이로 인해 특정 확장자만 허용하려 해도 해당 디렉토리 내의 모든 파일에 접근 권한이 부여될 수 있습니다.
💡 쉬운 설명
파일을 선택할 때 사용하는 별표(*) 기호가 예상보다 너무 넓은 범위를 허용하는 문제입니다. 특정 종류의 파일만 보여주려고 했는데, 실수로 폴더 안의 모든 파일을 다 보여주게 될 수 있습니다.
🇺🇸 원문 (English)
The Node.js Permission Model does not clarify in the documentation that wildcards should be only used as the last character of a file path. For example:
```
--allow-fs-read=/home/node/.ssh/*.pub
```
will ignore `pub` and give access to everything after `.ssh/`.
This misleading documentation affects all users using the experimental permission model in Node.js 20 and Node.js 21.
Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
📍 영향받는 시스템
Node.js 20 및 Node.js 21 (실험적 권한 모델 사용 시)
⚔️ 공격 벡터
잘못된 와일드카드 경로 설정을 이용한 권한 상승 및 비인가 파일 접근
🛡️ 대응 방법
Node.js를 최신 보안 패치 버전으로 업데이트하고, 권한 설정 시 와일드카드 사용에 주의하십시오.
🔧 검증 코드
출력된 버전이 Node.js 20 또는 21 버전인지 확인합니다.