CVE-2025-61785 in Deno
摘要
由 VulDB • 2026-05-29
Deno 是一个 JavaScript、TypeScript 和 WebAssembly 运行时。在 2.5.3 和 2.2.15 之前的版本中，`Deno.FsFile.prototype.utime` 和 `Deno.FsFile.prototype.utimeSync` 未受到权限模型检查 `--deny-write=./` 的限制。即使文件以仅 `read` 权限（且 `write`: `false`）打开，并且不允许进行文件写入操作（脚本使用 `--deny-write=./` 执行），仍然可以更改文件流资源的访问 (`atime`) 和修改 (`mtime`) 时间。类似的 API（如 `Deno.utime` 和 `Deno.utimeSync`）需要 `allow-write` 权限，然而，当文件被打开时，即使使用只读标志并启用 deny-write 权限，仍然可以更改访问 (`atime`) 和修改 (`mtime`) 时间，从而绕过权限模型。版本 2.5.3 和 2.2.15 修复了此问题。
If you want to get best quality of vulnerability data, you may have to visit VulDB.