CVE-2026-106073

lowPriorität · verfolgen · 10EPSS 0.002 · 16. PerzentilExploit · PoCDE

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.24% (16th) EPSS

CVSS 3.3 · low

Is it mine?

30 products

Prüfe deine Angriffsfläche

Who says so?

1 sources

cert_bund

EPSS · bewertet 2026-10-27

A flaw in Node.js Permission Model filesystem enforcement leaves `fs.realpathSync()` without the required read permission checks. This is an incomplete fix of CVE-2026-21715, which only covered `fs.realpathSync.native()`. As a result, code running under `--permission` with restricted `--allow-fs-read` can still use `fs.realpathSync()` to check file existence, resolve symlink targets, and enumerate filesystem paths outside of permitted directories. This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

3.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.03.3lowCVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · support@hackerone.comAusnutzbarkeit 1.8 · Auswirkung 1.4

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-284US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

CompleTetech-Security/node-cve-2026-106073-checkOffline Node.js evidence checker for CVE-2026-106073: Permission Model realpathSync read bypass. Single-file Python; JSON/CSV/HTML reports; no exploit payloads.PoC · poc_in_github

betroffene Produkte (30)

Betroffene Produkte und Versionsbereiche.

Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:11.0.33.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-b32
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:27.0.1.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:25.0.5.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_enterprise_edition_21.3.20.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-perf-b32
Microsoft .NETalle Versionencert_bundDEcpe:/a:microsoft:.net:-
Open Source OpenJDKalle Versionencert_bundDEcpe:/a:oracle:openjdk:-
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Ubuntu Linuxalle Versionencert_bundDEcpe:/o:canonical:ubuntu_linux:-
Open Source Node.js< 22.23.4cert_bundDE
Open Source Node.js< 24.22.1cert_bundDE
Open Source Node.js< 26.12.1cert_bundDE

20 von 30 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-4117Node.js: Mehrere SchwachstellenDeutsch2026-10-21csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um einen Denial of Service Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cert_bund NVD CVE.org MITRE

veröffentlicht 2026-10-23geändert 2026-10-23

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan