The Permission Model assumes that any path starting with two backslashes \ has a four-character prefix that can be ignored, which is not alw

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• NodeJS Node

  • 4.0 и новее · до 4.*затронута · semver
  • 5.0 и новее · до 5.*затронута · semver
  • 6.0 и новее · до 6.*затронута · semver
  • 7.0 и новее · до 7.*затронута · semver
  • 8.0 и новее · до 8.*затронута · semver
  • 9.0 и новее · до 9.*затронута · semver
  • 10.0 и новее · до 10.*затронута · semver
  • 11.0 и новее · до 11.*затронута · semver
  • 12.0 и новее · до 12.*затронута · semver
  • 13.0 и новее · до 13.*затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-27983An attacker can make the Node.js HTTP/2 server completely unavailable by sending a small amount of HTTP/2 frames packets with a few HTTP/2 f
  58В плане
• CVE-2025-27210An incomplete fix has been identified for CVE-2025-23084 in Node.js, specifically affecting Windows device names like CON, PRN, and AUX.
  35Наблюдать
• CVE-2024-27980Due to the improper handling of batch files in child_process.spawn / child_process.spawnSync, a malicious command line argument can inject a
  32Наблюдать
• CVE-2024-36138Bypass incomplete fix of CVE-2024-27980, that arises from improper handling of batch files with all possible extensions on Windows via child
  32Наблюдать
• CVE-2026-56848A flaw in Node.js HTTP/2 handling allows `nghttp2_session_mem_send()` to be called re-entrantly while `nghttp2_session_mem_recv()` is execut
  30Наблюдать
• CVE-2026-56846A flaw in Node.js HTTP/2 handling can cause HTTP/2 retained header blocks evade maxSessionMemory and enable remote memory exhaustion.
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.