CVE-2026-106071

lowPriorität · verfolgen · 10EPSS 0.002 · 9. PerzentilExploit · PoCDE

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.19% (9th) EPSS

CVSS 3.6 · low

Is it mine?

30 products

Prüfe deine Angriffsfläche

Who says so?

1 sources

cert_bund

EPSS · bewertet 2026-10-27

A flaw in Node.js Permission Model filesystem enforcement can grant access to paths that do not match a wildcard `--allow-fs-read` or `--allow-fs-write` rule. When the requested path is shorter than the prefix of a wildcard grant, the radix tree lookup stops comparing early and treats the path as a match. For example, `--allow-fs-read=/etc/passwd.*` also allows reading `/etc/passwd`. This requires the wildcard grant to sit directly under the root of the permission tree, for example when it is the only grant for that scope. This is a different root cause from CVE-2026-58043. This vulnerability affects Node.js **26.x**.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

3.6

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.03.6lowCVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:Nsecondary · support@hackerone.comAusnutzbarkeit 1 · Auswirkung 2.5

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-284US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

CompleTetech-Security/node-cve-2026-106071-checkOffline Node.js evidence checker for CVE-2026-106071: Permission Model wildcard path over-grant. Single-file Python; JSON/CSV/HTML reports; no exploit payloads.PoC · poc_in_github

betroffene Produkte (30)

Betroffene Produkte und Versionsbereiche.

Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:11.0.33.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-b32
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:27.0.1.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:25.0.5.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_enterprise_edition_21.3.20.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-perf-b32
Microsoft .NETalle Versionencert_bundDEcpe:/a:microsoft:.net:-
Open Source OpenJDKalle Versionencert_bundDEcpe:/a:oracle:openjdk:-
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Ubuntu Linuxalle Versionencert_bundDEcpe:/o:canonical:ubuntu_linux:-
Open Source Node.js< 22.23.4cert_bundDE
Open Source Node.js< 24.22.1cert_bundDE
Open Source Node.js< 26.12.1cert_bundDE

20 von 30 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-4117Node.js: Mehrere SchwachstellenDeutsch2026-10-21csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um einen Denial of Service Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cert_bund NVD CVE.org MITRE

veröffentlicht 2026-10-23geändert 2026-10-23

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan