CVE-2025-55130 in Node.js
Resumen
por MITRE • 2026-01-20
Una falla en el modelo de permisos de Node.js permite a los atacantes eludir las restricciones `--allow-fs-read` y `--allow-fs-write` utilizando rutas de enlaces simbólicos relativos manipuladas. Al encadenar directorios y enlaces simbólicos, un script al que se le concedió acceso solo al directorio actual puede escapar de la ruta permitida y leer archivos sensibles. Esto rompe las garantías de aislamiento esperadas y permite la lectura/escritura arbitraria de archivos, lo que lleva a un posible compromiso del sistema.
Esta vulnerabilidad afecta a los usuarios del modelo de permisos en Node.js v20, v22, v24 y v25.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.