Node.js présente un contournement du Permission Model : en mode récursif, `fs.watch()` et `fs.promises.watch()` peuvent révéler les noms et chemins relatifs de fichiers ou répertoires non autorisés, sans en divulguer le contenu. Le problème concerne Node.js 22.x, 24.x et 26.x sur macOS et Windows ; appliquer un correctif lorsqu’il est disponible et limiter l’usage de la surveillance récursive sous le modèle de permissions.
Source : NVD — CVE-2026-123829
Analyse technique
Le contrôle de permission porte sur la racine surveillée, mais les chemins transmis par le watcher natif ne sont pas vérifiés individuellement. L’exposition nécessite macOS ou Windows et des fichiers créés sous le répertoire surveillé par un autre acteur.
Impact, versions et correctif
Action recommandée
Appliquer un correctif Node.js dès sa disponibilité ; en attendant, éviter la surveillance récursive de répertoires sensibles sous le Permission Model.
Sources
Priorisation DFS : P4 · 1 source(s).