CVE-2026-123829— Node.js 递归 fs.watch 权限模型文件名泄露漏洞
一分钟漏洞结论
影响对象
nodejs node
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Node.js 在递归文件监控中存在权限模型绕过漏洞，导致进程能够获取其本无权限读取的文件和目录名称。在 macOS 和 Windows 平台上，递归模式下的 和 由原生的 libuv 监控器支持： 仅在监控根目录处检查一次 权限，而 随后会将 libuv 报告的所有文件名（任意深度的相对路径）直接转发给 JavaScript 回调函数，未对每个路径是否包含在读权限授权范围内进行验证。因此，在 模式下运行、且仅对某个目录拥有精确读权限授权的代码，仍可获知如 等子目录中的文件名，尽管对该子目录执行 操作已被拒绝。该漏
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-123829 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Node.js is vulnerable to Permission Model file-name disclosure via recursive fs.watch
来源: CVE Program / CVE List V5
Vulnerability Description
A Permission Model bypass in Node.js recursive file watching discloses the names of files and directories the process is not permitted to read. On macOS and Windows, fs.watch() and fs.promises.watch() in recursive mode are backed by the native libuv watcher: FSEventWrap::Start checks kFileSystemRead only once, on the watched root, and FSEventWrap::OnEvent then forwards every filename libuv reports (relative paths at any depth) to the JavaScript callback without checking that each path is covered by the read grant. Code running under --permission with an exact read grant on a directory can therefore learn names such as sub/secret.txt even though readdir on that subdirectory is denied. The flaw exposes names and timing metadata, not file contents, and requires macOS or Windows plus files created under the watched directory by another actor. This vulnerability affects Node.js 26.x, 24.x, and 22.x.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-123829 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-123829 的情报信息
请登录查看更多情报信息。
CVE-2026-123829 安全博客文章 (1)
-
Node.js — Wednesday, November 11, 2026 Security Releases vendor-advisory
同批安全公告 · nodejs · 2026-11-11 · 共 15 条
| CVE-2026-123862 | Node.js zlib 流销毁拒绝服务漏洞 | |
| CVE-2026-123828 | Node.js HTTP/2 会话 altsvc 堆缓冲区溢出漏洞 | |
| CVE-2026-123864 | Node.js TLS 写重入导致跨连接内存泄露 | |
| CVE-2026-123863 | Node.js 远程 HTTP/2 拒绝服务漏洞 | |
| CVE-2026-123866 | Node.js HTTP/2 响应内存泄露漏洞 | |
| CVE-2026-123871 | Node.js 代理凭据泄露漏洞 | |
| CVE-2026-123867 | Node.js mTLS 授权绕过漏洞 | |
| CVE-2026-123865 | Node.js HTTP/2 会话关闭内存及文件描述符泄漏漏洞 | |
| CVE-2026-123868 | Node.js HTTP/2 内存耗尽拒绝服务漏洞 | |
| CVE-2026-126051 | Node.js TLS 服务器远程触发未捕获异常漏洞 | |
| CVE-2026-123877 | Node.js 跨策略 TLS 会话复用证书验证绕过漏洞 | |
| CVE-2026-123872 | Node.js TLS 1.2 客户端证书认证绕过漏洞 | |
| CVE-2026-123875 | Node.js 远程拒绝服务漏洞 | |
| CVE-2026-123874 | Node.js 18.19.0 HTTP/2 释放后使用漏洞 |