PT-2026-3317 · Node.Js · Node.Js

Mufeedvh · Publicado 2026-01-13 · Atualizado 2026-05-06 · CVE-2026-21636

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Node.js versão 25

Descrição Uma vulnerabilidade no modelo de permissões permite que conexões Unix Domain Socket (UDS) contornem restrições de rede quando --permission está ativado. Mesmo sem --allow-net, entradas controladas por atacantes, como URLs ou opções de socketPath, podem se conectar a soquetes locais arbitrários por meio de net, tls ou undici/fetch. Isso viola a fronteira de segurança pretendida pelo modelo de permissões e permite acesso a serviços locais privilegiados, potencialmente levando a elevação de privilégios, exposição de dados ou execução de código local. As permissões de rede (--allow-net) estão atualmente na fase experimental.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

BDU:2026-01353

BIT-NODE-2026-21636

BIT-NODE-MIN-2026-21636

CVE-2026-21636

RHSA-2026:6402

RHSA-2026:6431

RHSA-2026:7386

RHSA-2026:7387

Produtos afetados

Node.Js

Referências · 17

• https://reddit.com/r/TrendNowOrg/comments/1qoui9t/moltbot_the_opensource_ai_assistant_that_took · Publicação no Reddit
• https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#nodejs-permission-model-bypass-via-unchecked-unix-domain-socket-connections-uds-cve-2026-21636---medium · Nota
• https://reddit.com/r/u_Weekly-Aide-6394/comments/1qwe1tw/openclaw_the_123000star_ai_revolution_or_a · Publicação no Reddit
• https://twitter.com/winfunction/status/2012163130265366707 · Publicação no Twitter
• https://nodejs.org/en/blog/vulnerability/december-2025-security-releases · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-21636 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/2052031183689568407 · Publicação no Twitter
• https://twitter.com/grok/status/2012777550611624191 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-21636 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-21636 · Aviso do Fabricante
• https://t.me/four_rays/202 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-21636 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-21636 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2026-01353 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-node-min-2026-21636 · Aviso do Fabricante