VULNERABILIDADEXPLOIT PÚBLICO
CVE-2026-106071 Recorrido de rutas en el Permission Model de filesystem de Node.js
Una falla en la aplicación del Permission Model de filesystem de Node.js puede otorgar acceso a rutas que no coinciden con una regla comodín --allow-fs-read o --allow-fs-write. Cuando la ruta solicitada es más corta que el prefijo de una concesión comodín, la búsqueda en el radix tree deja de comparar antes de tiempo y la trata como coincidencia; por ejemplo, --allow-fs-read=/etc/passwd.* también permite leer /etc/passwd. Requiere que la concesión comodín esté directamente bajo la raíz del árbol de permisos…
Alerta de Nureq Monitor
Detectada 23 OCT · 14:27Última novedad 24 OCT · 05:01
CVSS 3.0
3.6BAJAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 3
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
Sí 1 REPOSITORIO
Qué es CVE-2026-106071
Una falla en la aplicación del Permission Model de filesystem de Node.js puede otorgar acceso a rutas que no coinciden con una regla comodín --allow-fs-read o --allow-fs-write. Cuando la ruta solicitada es más corta que el prefijo de una concesión comodín, la búsqueda en el radix tree deja de comparar antes de tiempo y la trata como coincidencia; por ejemplo, --allow-fs-read=/etc/passwd.* también permite leer /etc/passwd. Requiere que la concesión comodín esté directamente bajo la raíz del árbol de permisos…
Productos y versiones afectadas
nodejs node
Qué hacer
- Verificá si usás node y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Exploits y pruebas de concepto públicas
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.0 · 3.6 BAJA
CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N/CR:M/IR:M/AR:M
- VECTOR DE ATAQUE (AV)
- Local
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
A flaw in Node.js Permission Model filesystem enforcement can grant access to paths that do not match a wildcard `--allow-fs-read` or `--allow-fs-write` rule.
When the requested path is shorter than the prefix of a wildcard grant, the radix tree lookup stops comparing early and treats the path as a match. For example, `--allow-fs-read=/etc/passwd.*` also allows reading `/etc/passwd`. This requires the wildcard grant to sit directly under the root of the permission tree, for example when it is the only grant for that scope. This is a different root cause from CVE-2026-58043.
This vulnerability affects Node.js **26.x**.
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
- EXPLOIT PÚBLICO Se publicó el repositorio CompleteTech-LLC/node-cve-2026-106071-check.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.