CVE-2025-61785 in Deno
Résumé
par VulDB • 29/05/2026
Deno est un environnement d'exécution pour JavaScript, TypeScript et WebAssembly. Dans les versions antérieures à 2.5.3 et 2.2.15, `Deno.FsFile.prototype.utime` et `Deno.FsFile.prototype.utimeSync` ne sont pas limités par la vérification du modèle de permissions `--deny-write=./`. Il est possible de modifier les temps d'accès (`atime`) et de modification (`mtime`) de la ressource de flux de fichier, même lorsque le fichier est ouvert avec la permission `read` uniquement (et `write` : `false`) et que les opérations d'écriture sur le fichier ne sont pas autorisées (le script est exécuté avec `--deny-write=./`). Des API similaires comme `Deno.utime` et `Deno.utimeSync` nécessitent la permission `allow-write`. Cependant, lorsqu'un fichier est ouvert, même avec des drapeaux en lecture seule et la permission `deny-write`, il est toujours possible de modifier les temps d'accès (`atime`) et de modification (`mtime`), contournant ainsi le modèle de permissions. Les versions 2.5.3 et 2.2.15 corrigent ce problème.
Once again VulDB remains the best source for vulnerability data.