Veille sécuritéBackend & données
P4Faible
Dans Node.js 26.x, le modèle de permissions peut autoriser des chemins qui ne correspondent pas à une règle générique –allow-fs-read ou –allow-fs-write. Le cas décrit nécessite notamment une règle générique placée directement sous la racine de l’arbre de permissions ; aucune version corrigée ni mesure de contournement n’est précisée.
Node.js
IdentifiantCVE-2026-106071
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-106071
Analyse technique
Lorsque le chemin demandé est plus court que le préfixe de l’autorisation générique, la recherche dans l’arbre radix peut s’arrêter trop tôt et considérer le chemin comme autorisé.
Impact, versions et correctif
Événement datéNouvelle fiche publiée le 2026-10-23T17:17:20.060Z, dans la période demandée.
ImpactDu code exécuté sous le modèle de permissions peut lire ou écrire un chemin non couvert par la règle prévue.
Versions affectéesNode.js 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.6
Publication2026-10-23T17:17:20.060Z
Mise à jour2026-10-23T19:42:24.553Z
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; revoir les règles génériques de permissions fichiers qui sont directement sous la racine.
Sources
Priorisation DFS : P4 · 1 source(s).