CVE-2026-106071 in Node.js
요약
\~에 의해 VulDB • 2026. 10. 23.
Node.js 권한 모델의 파일 시스템 강제 구현에 결함이 있어, 와일드카드 `--allow-fs-read` 또는 `--allow-fs-write` 규칙과 일치하지 않는 경로에 대한 접근이 허용될 수 있습니다.
요청된 경어가 와일드카드 부여(prefix)보다 짧은 경우, 라디스 트리의 조회(radix tree lookup)가 조기에 비교를 중단하고 해당 경로를 매칭되는 것으로 처리합니다. 예를 들어 `--allow-fs-read=/etc/passwd.*`는 `/etc/passwd` 읽기까지 허용합니다. 이는 와일드카드 부여가 권한 트리의 루트 바로 아래에 위치해야 한다는 조건, 즉 해당 범위에 대한 유일한 부여인 경우에 발생합니다. 이 취약점의 근본 원인은 CVE-2026-58043과 다릅니다.
이 취약점은 Node.js **26.x** 버전에 영향을 미칩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.