🇰🇷 한글 설명
Node.js Permission Model의 파일시스템 검사에서 결함이 발견되었습니다. 와일드카드 --allow-fs-read 또는 --allow-fs-write 규칙과 일치하지 않는 경로에도 접근이 허용될 수 있습니다. 요청 경로가 와일드카드 접두사보다 짧으면 radix tree 조회가 조기에 중단되어 일치하는 것으로 잘못 판단됩니다. 이 취약점은 Node.js 26.x 버전에 영향을 줍니다.
💡 쉬운 설명
Node.js의 파일 접근 제한 기능에 허점이 있어, 허용되지 않은 파일도 읽거나 쓸 수 있게 됩니다. 특정 조건에서만 발생하며 영향 범위는 제한적입니다.
🇺🇸 원문 (English)
A flaw in Node.js Permission Model filesystem enforcement can grant access to paths that do not match a wildcard `--allow-fs-read` or `--allow-fs-write` rule.
When the requested path is shorter than the prefix of a wildcard grant, the radix tree lookup stops comparing early and treats the path as a match. For example, `--allow-fs-read=/etc/passwd.*` also allows reading `/etc/passwd`. This requires the wildcard grant to sit directly under the root of the permission tree, for example when it is the only grant for that scope. This is a different root cause from CVE-2026-58043.
This vulnerability affects Node.js **26.x**.
📍 영향받는 시스템
Node.js 26.x 버전 (Permission Model 기능을 사용하는 환경)
⚔️ 공격 벡터
--allow-fs-read=/etc/passwd.* 같은 와일드카드 규칙이 설정된 경우, 공격자가 접두사와 일치하는 짧은 경로(예: /etc/passwd)에 접근하여 제한 우회
🛡️ 대응 방법
Node.js를 패치된 최신 버전으로 업데이트하고, 와일드카드 파일시스템 권한 규칙 사용을 최소화
🔧 검증 코드
출력된 버전이 v26.x이면 취약 가능성이 있으므로 패치 버전 적용 여부를 공식 릴리스 노트에서 확인해야 합니다.
node --version 2>/dev/null