CVE-2026-21711 in Node.js
Riassunto
di VulDB • 08/07/2026
Una vulnerabilità nel modello di autorizzazione (Permission Model) di Node.js, relativa all’applicazione delle regole di rete, lascia le operazioni dei server Unix Domain Socket (UDS) prive dei necessari controlli sui permessi, mentre tutti i percorsi di rete comparabili li applicano correttamente.
Di conseguenza, il codice in esecuzione con l’opzione `--permission` ma senza `--allow-net` può creare ed esporre endpoint IPC locali, consentendo la comunicazione con altri processi sullo stesso host al di fuori del confine delle restrizioni di rete previste.
Questa vulnerabilità interessa i processi Node.js **25.x** che utilizzano il Permission Model in cui l’opzione `--allow-net` è volutamente omessa per limitare l’accesso alla rete. Si noti che `--allow-net` è attualmente una funzionalità sperimentale.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.