漏洞标题
N/A
漏洞描述信息
在Node.js 20中存在一个权限提升漏洞，当启用实验权限模型时，它可以加载任意的 OpenSSL 引擎，这可能绕过或禁用权限模型。攻击的复杂性很高。然而，当使用兼容的 OpenSSL 引擎时，可以使用 crypto.setEngine() API 绕过权限模型。例如， OpenSSL 引擎可以通过修改进程栈内存来定位在进程堆内存中的权限模型 Permission::enabled_，从而禁用进程的权限模型。请注意，在发布此漏洞时，权限模型是 Node.js 的一个实验特性。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
漏洞类别
关键资源的不正确权限授予
漏洞标题
N/A
漏洞描述信息
A privilege escalation vulnerability exists in Node.js 20 that allowed loading arbitrary OpenSSL engines when the experimental permission model is enabled, which can bypass and/or disable the permission model. The attack complexity is high. However, the crypto.setEngine() API can be used to bypass the permission model when called with a compatible OpenSSL engine. The OpenSSL engine can, for example, disable the permission model in the host process by manipulating the process's stack memory to locate the permission model Permission::enabled_ in the host process's heap memory. Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
CVSS信息
N/A
漏洞类别
N/A
漏洞标题
Node.js 安全漏洞
漏洞描述信息
Node.js是一个开源、跨平台的 JavaScript 运行时环境。 Node.js 存在安全漏洞，该漏洞源于在启用实验性权限模型时加载任意 OpenSSL 引擎，从而可以绕过和/或禁用权限模型。
CVSS信息
N/A
漏洞类别
其他