CVE-2023-32559 in Node.js
要約
〜によって VulDB • 2026年06月24日
すべてのアクティブなリリースライン（16.x、18.x、20.x）における実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。非推奨のAPI `process.binding()` の使用により、内部モジュールを必要とするプロセスを通じてポリシーメカニズムを回避し、最終的に `policy.json` ファイルで定義された制限外で任意のコードを実行できる `process.binding('spawn_sync')` を悪用する可能性があります。なお、このCVEが発行された時点では、ポリシーはNode.jsの実験的な機能でした。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.