CVE-2026-21636

总结

Node.js 权限模型中的一个缺陷允许在启用 `--permission` 时，Unix 域套接字（UDS）连接绕过网络限制。即使未设置 `--allow-net`，攻击者控制的输入（如 URL 或 socketPath 选项）也能通过 net、tls 或 undici/fetch 连接到任意本地套接字。这破坏了权限模型预期的安全边界，并允许访问特权本地服务，可能导致权限提升、数据泄露或本地代码执行。* 该问题影响使用 Node.js 权限模型的 v25 版本用户。在本次漏洞发生时，网络权限（`--allow-net`）仍处于实验阶段。

• CVE-2026-21636PoC

  概念验证，演示了 Node.js 权限模型绕过（CVE-2026-21636），该漏洞允许通过 undici/fetch 访问本地服务的网络，从而通过 CDP 实现任意代码执行。