PT-2025-23841 · Deno · Deno

Frankvd · Publicado 2025-06-04 · Atualizado 2026-04-14 · CVE-2025-48934

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Deno anteriores a 2.1.13 e anteriores a 2.2.13

Descrição O problema afeta o Deno, um runtime de JavaScript, TypeScript e WebAssembly. Envolve o método Deno.env.toObject, que ignora variáveis listadas na opção --deny-env do comando deno run. Isso pode levar à falsa impressão de que as variáveis listadas na opção são impossíveis de ler, tornando o software que depende dessa combinação vulnerável a código malicioso que tenta roubar segredos.

Recomendações Para versões do Deno anteriores a 2.1.13, atualize para a versão 2.1.13 ou posterior. Para versões do Deno anteriores a 2.2.13, atualize para a versão 2.2.13 ou posterior. Como solução temporária, considere restringir o acesso a variáveis de ambiente sensíveis até que a correção seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2025-48934

GHSA-7W8P-CHXQ-2789

JLSEC-2026-110

Produtos afetados

Deno

Referências · 16

• 🔥 https://github.com/denoland/deno/security/advisories/GHSA-7w8p-chxq-2789 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48934.json · Exploit
• https://github.com/denoland/deno · Nota
• https://github.com/denoland/deno/pull/29079 · Correção
• https://github.com/denoland/deno/commit/2959e083912420988066a001c2b2d6732a1b562f · Correção
• https://github.com/denoland/deno/commit/946ccda1aa19a00c478a5e6826b75053b050d753 · Correção
• https://twitter.com/CVEnew/status/1930347888908845503 · Publicação no Twitter
• https://osv.dev/vulnerability/JLSEC-2026-110 · Aviso do Fabricante
• https://github.com/advisories/GHSA-7w8p-chxq-2789 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-48934 · Nota de Segurança
• https://docs.deno.com/api/deno/~/Deno.Env.toObject · Nota
• https://osv.dev/vulnerability/GHSA-7w8p-chxq-2789 · Aviso do Fabricante
• https://t.me/cvenotify/127380 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-48934 · Aviso do Fabricante
• https://docs.deno.com/runtime/fundamentals/security/#environment-variables · Nota