CVE-2026-95860
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-285
- KEV Durumu
- Hayır
Yayım tarihi: 3 Kasım 2026
node-opcua, TypeScript ve Node.js için bir OPC UA uygulamasıdır. 2.42.0'dan 2.180.0'a kadar, setDefaultRolePermissions aracılığıyla yapılandırılan ad alanı düzeyi erişim denetimi, açıkça per-node RolePermissions olan düğümler için çalışma zamanı uygulama yolu tarafından dikkate alınmaz. SessionContext.getApplicableRolePermissions, eksik veya null DefaultRolePermissions meta veri değerini yapılandırılan ad alanı alanının yerine okur ve null sonuç izin verici bir şekilde işlenir. Bir anonim ağ istemcisi, bir operatör kısıtlayıcı bir ad alanı varsayılanını yapılandırıp kalıtıma güvendiğinde, CurrentWrite erişimi olan değişkenleri yazabilir veya bağlı yöntemleri çağırabilir. Bildirilen bir ilkesi olmayan sunucular, açıkça per-node izinleri olan düğümler ve doğru bir şekilde bağlı programatik ad alanı meta verileri, yetki atlatma durumunun dışında kalır. Bu sorun 2.180.0 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
node-opcua is an OPC UA implementation for TypeScript and Node.js. From 2.42.0 until 2.180.0, namespace-level access control configured through setDefaultRolePermissions is not honored by the runtime enforcement path for nodes without explicit per-node RolePermissions. SessionContext.getApplicableRolePermissions reads a missing or null DefaultRolePermissions metadata value instead of the configured namespace field, and the null result is treated permissively. An anonymous network client can consequently write variables with CurrentWrite access or call bound methods when an operator configured a restrictive namespace default and relied on inheritance. Servers with no declared policy, nodes with explicit per-node permissions, and correctly bound programmatic namespace metadata are outside the authorization-bypass case. This issue is fixed in version 2.180.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.