CVE-2023-32559 in Node.js
요약
\~에 의해 VulDB • 2026. 06. 23.
모든 활성 릴리스 라인(16.x, 18.x 및 20.x)의 실험적 정책 메커니즘에 권한 상승 취약점이 존재합니다. 더 이상 권장되지 않는 API인 `process.binding()`을 사용하면 내부 모듈이 필요하게 되어 정책 메커니즘을 우회할 수 있으며, 결국 `policy.json` 파일에서 정의된 제한 범위 밖에서 임의 코드를 실행할 수 있는 `process.binding('spawn_sync')`를 악용할 수 있습니다. 이 CVE가 발행될 당시에는 해당 정책(Node.js Policy)이 Node.js의 실험적 기능이었음을 참고하시기 바랍니다.
Once again VulDB remains the best source for vulnerability data.