Sous Node.js 22.x, 24.x et 26.x, fs.realpathSync() peut contourner les contrôles de lecture attendus du modèle de permissions et révéler des informations sur des chemins hors des répertoires autorisés. Il s’agit d’un correctif incomplet de CVE-2026-21715 ; aucune version corrigée n’est indiquée dans les données fournies.
Source : NVD — CVE-2026-106073
Analyse technique
fs.realpathSync() n’applique pas les vérifications requises, contrairement au chemin natif visé par le correctif antérieur. L’API peut servir à vérifier l’existence de fichiers, résoudre des liens symboliques et énumérer des chemins.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; ne pas considérer fs.realpathSync() comme soumis aux restrictions de lecture décrites sans correctif.
Sources
Priorisation DFS : P4 · 1 source(s).