🔍 CVE-2025-27210

7.5
CVSS Score
HIGH
2025-07-18
2026-06-17 09:03
✅ 완료

🇰🇷 한글 설명

Node.js의 path.join API가 Windows 예약어(CON, PRN, AUX 등)를 불완전하게 필터링하여 경로 우회 공격에 취약합니다. 공격자가 특수 파일명을 조작하여 권한 제어를 우회할 수 있습니다.

💡 쉬운 설명

Windows의 CON, PRN, AUX 같은 특별한 파일 이름을 Node.js가 제대로 인식하지 못합니다. 공격자가 이를 악용해 접근 제한된 파일이나 디렉토리에 도달할 수 있습니다.

🇺🇸 원문 (English)

An incomplete fix has been identified for CVE-2025-23084 in Node.js, specifically affecting Windows device names like CON, PRN, and AUX. This vulnerability affects Windows users of `path.join` API.

📍 영향받는 시스템

Windows 환경에서 실행되는 Node.js 애플리케이션 (모든 버전)

⚔️ 공격 벡터

path.join() 메서드 입력에 Windows reserved device names (CON, PRN, AUX, LPT1 등)를 포함하여 경로 정규화 우회

🛡️ 대응 방법

Node.js를 최신 버전으로 업데이트하거나 입력값에 대한 검증 로직 추가 (예: reserved names 필터링)

🔧 검증 코드

Node.js 버전 확인 후 CVE 패치가 포함된 최신 LTS 버전 이상인지 확인하고, Windows 플랫폼 확인으로 영향 범위 검증

Shell / Script 
node --version | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+' && node -e "console.log(require('os').platform())"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

💻 영향받는 소프트웨어

Node.js