Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-58043 là lỗ hổng Improper Access Control ảnh hưởng tới node (phiên bản bị ảnh hưởng: 22.23.1 – ≤ 22.23.1, 24.18.0 – ≤ 24.18.0 và các phiên bản bị ảnh hưởng khác). Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 8.4. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Lỗ hổng trong việc thực thi Node.js Permission Model có thể cấp thừa quyền truy cập filesystem qua các ranh giới prefix của radix-tree. Trong --permission, một attacker được cấp quyền truy cập vào một path có thể lợi dụng việc xử lý boundary để đọc từ hoặc ghi vào các path nằm ngoài filesystem allowlist dự kiến. Lỗ hổng này ảnh hưởng đến Node.js main, 22.x, 24.x và 26.x.
Node.js project xác nhận các active release lines 22.x, 24.x và 26.x bị ảnh hưởng. Ranh giới phiên bản trong bản ghi và advisory là:
22.23.1 và các phiên bản thấp hơn bị ảnh hưởng; bản phát hành sửa lỗi được xác nhận là 22.23.2.24.18.0 và các phiên bản thấp hơn bị ảnh hưởng; bản phát hành sửa lỗi được xác nhận là 24.18.1.26.5.0 và các phiên bản thấp hơn bị ảnh hưởng; bản phát hành sửa lỗi được xác nhận là 26.5.1.Lỗi nằm trong cơ chế thực thi Node.js Permission Model, nơi việc đối chiếu path qua các ranh giới prefix của radix tree có thể cấp quyền vượt quá path đã được cho phép. Khi chạy dưới --permission, attacker đã được cấp quyền cho một path có thể lợi dụng cách xử lý boundary để đọc hoặc ghi vào các path nằm ngoài filesystem allowlist dự kiến.
Đây là lỗi kiểm soát truy cập, thuộc CWE-284. Bản ghi mô tả điều kiện khai thác là local, cần quyền hạn thấp, độ phức tạp thấp và không cần user interaction. Phần thông tin công khai không nêu chính xác cách tạo path hoặc điều kiện boundary cụ thể, vì vậy không thể kết luận về các path mục tiêu ngoài phạm vi đọc hoặc ghi vượt allowlist.
Khai thác yêu cầu attacker có khả năng chạy hoặc tác động đến một tiến trình Node.js được khởi động với --permission và đã được cấp quyền truy cập filesystem ở một mức nào đó. Đánh giá trong bản ghi phân loại hướng tấn công là local, yêu cầu quyền hạn thấp, độ phức tạp thấp và không cần user interaction.
Bản ghi không đánh dấu lỗ hổng là đã bị khai thác và không xác định public exploit. Mục SSVC được hiển thị trong dữ liệu đã tra cứu ghi nhận exploitation là none tại thời điểm quyết định; thông tin này có phạm vi thời gian và không bảo đảm rằng việc khai thác sẽ không xuất hiện về sau.
Lỗ hổng có thể phá vỡ ranh giới kiểm soát truy cập mà Node.js Permission Model đặt ra giữa path được cho phép và phần còn lại của filesystem. Kết quả kỹ thuật được xác nhận là đọc trái phép hoặc ghi trái phép vào path nằm ngoài allowlist; bản ghi mô tả tác động cao đến confidentiality và integrity, trong khi không xác định tác động đến availability.
Phạm vi có thể thay đổi vì việc truy cập vượt ranh giới có thể ảnh hưởng đến tài nguyên nằm ngoài phạm vi kiểm soát ban đầu của ứng dụng. Tuy nhiên, lỗ hổng không tự chứng minh việc vượt quyền hệ điều hành hoặc đạt quyền quản trị; khả năng truy cập thực tế vẫn bị giới hạn bởi user và quyền filesystem của process. Tác động tổ chức có thể gồm lộ dữ liệu, sửa cấu hình hoặc thay đổi file ứng dụng, tùy deployment.
Các tổ chức dùng Node.js Permission Model như một ranh giới giữa ứng dụng và filesystem có thể bị suy yếu cơ chế cô lập.
22.23.2, Node.js 24.x lên 24.18.1, hoặc Node.js 26.x lên 26.5.1, tùy release line đang sử dụng. Đây là các bản phát hành bảo mật được Node.js project xác nhận có sửa lỗi Permission Model.--permission là ranh giới bảo vệ filesystem duy nhất. Dùng quyền filesystem của hệ điều hành, container hoặc sandbox như biện pháp defense-in-depth, đồng thời giảm dữ liệu nhạy cảm mà process có thể truy cập.--permission.affected_summary. Không coi việc bật Permission Model là bằng chứng rằng allowlist đang được thực thi đúng.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
