CVE-2026-95860— node-opcua 未绑定 DefaultRolePermissions 导致权限绕过漏洞
一分钟漏洞结论
影响对象
node-opcua node-opcua
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
node-opcua 是一个面向 TypeScript 和 Node.js 的 OPC UA 实现。在版本 2.42.0 至 2.180.0 期间，通过 配置的命名空间级别访问控制，在运行时执行路径中未被正确应用，具体表现为：对于未显式配置节点级 的节点， 方法读取的是缺失或为 的 元数据值，而非已配置的命名空间字段；该 结果被系统以宽松（允许）的方式处理。因此，匿名网络客户端可以在操作员已配置了限制性命名空间默认权限并依赖权限继承的情况下，写入具有 访问权限的变量，或调用已绑定的方法。未声明策略的服务器、已显式配
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-95860 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
node-opcua: Namespace-Level RBAC Fail-Open - Anonymous Write/Call Bypass via Unbound `DefaultRolePermissions
来源: CVE Program / CVE List V5
Vulnerability Description
node-opcua is an OPC UA implementation for TypeScript and Node.js. From 2.42.0 until 2.180.0, namespace-level access control configured through setDefaultRolePermissions is not honored by the runtime enforcement path for nodes without explicit per-node RolePermissions. SessionContext.getApplicableRolePermissions reads a missing or null DefaultRolePermissions metadata value instead of the configured namespace field, and the null result is treated permissively. An anonymous network client can consequently write variables with CurrentWrite access or call bound methods when an operator configured a restrictive namespace default and relied on inheritance. Servers with no declared policy, nodes with explicit per-node permissions, and correctly bound programmatic namespace metadata are outside the authorization-bypass case. This issue is fixed in version 2.180.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| node-opcua | node-opcua | >= 2.42.0, < 2.180.0 | - |
|
二、漏洞 CVE-2026-95860 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-95860 的情报信息
请登录查看更多情报信息。
CVE-2026-95860 其他参考 (4)
-
https://github.com/node-opcua/node-opcua/pull/1580 x_refsource_MISC
-
https://github.com/node-opcua/node-opcua/releases/tag/v2.180.0 x_refsource_MISC
-
https://github.com/node-opcua/node-opcua/security/advisories/GHSA-xggf-m53x-jc3f x_refsource_CONFIRM