🇰🇷 한글 설명
Node.js 권한 모델의 구현 결함으로 인해 radix-tree 접두사 경계를 넘어 파일 시스템 접근 권한이 과도하게 부여될 수 있습니다. --permission 옵션을 사용할 때, 공격자는 허용된 경로의 경계 처리 방식을 악용하여 의도된 허용 목록 외부의 경로를 읽거나 쓸 수 있습니다.
💡 쉬운 설명
Node.js에서 특정 폴더만 사용하도록 제한을 걸어두어도, 공격자가 교묘한 경로 이름을 사용하여 제한된 폴더 밖의 파일까지 몰래 보고 수정할 수 있는 문제입니다. 즉, 보안 울타리를 넘어서 다른 폴더에 접근할 수 있는 허점이 발견되었습니다.
🇺🇸 원문 (English)
A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix boundaries.
Under `--permission`, an attacker who is granted access to one path can abuse boundary handling to read from or write to paths outside the intended filesystem allowlist.
This vulnerability affects Node.js **main**, **22.x**, **24.x**, and **26.x**.
📍 영향받는 시스템
Node.js main, 22.x, 24.x, 26.x 버전
⚔️ 공격 벡터
허용된 파일 경로의 접두사 경계 처리 취약점을 악용하여 권한 밖의 경로에 접근
🛡️ 대응 방법
Node.js를 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 영향받는 버전(22.x, 24.x, 26.x 등)에 해당하는지 확인하십시오.