Autorisation incorrecte dans deno (CVE-2026-49983)
Résumé
Vulnérabilité dans deno (CVE-2026-49983). Risque d'opérations non autorisées ou de divulgation. Exploitable via env. Atténuation : mise à jour vers 2.8.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
In Deno, environment access is gated by the env permission. You can deny it
with --deny-env, or restrict it to a specific allowlist with
--allow-env=FOO,BAR. The expectation is that a program running without env
permission cannot change process.env.
process.loadEnvFile() (the Node-compatible API for loading variables from a
.env file) does not honor this. It only checks that the program has
read permission for the dotenv file, then writes every key in that file
into the process environment — even when env access is denied.
In effect, --allow-read plus a writable or attacker-controlled .env file
is enough to defeat --deny-env.
Am I affected?
You are potentially affected if all of the following are true:
- You run Deno v2.3.0 or newer.
- Your program (or any dependency it imports) calls
process.loadEnvFile()
fromnode:process. - You rely on Deno's permission model — specifically
--deny-env, an
--allow-env=…allowlist, or running without grantingenv— as a
security boundary. - The
.envpath passed toloadEnvFile()can be controlled or modified by
a less-trusted party (untrusted input, user-writable directory, third-party
dependency, etc.) and is covered by your--allow-readgrant.
If your program does not use process.loadEnvFile() at all, or if it already
grants full env access, this advisory does not change your risk.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-49983 a été découverte dans deno.
Des attaquants peuvent cibler un point d'entrée spécifique comme env à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.2/10.
Action : mettez à jour deno vers 2.8.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « deno CVE-2026-49983 » sur le site de l'éditeur.
CVE-2026-49983 (deno) — CWE-863 / CVSS v3 5.2
Vecteur d'attaque : local / sans interaction utilisateur
Surface d'attaque : env / process.env
Correctif : 2.8.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte deno. Les attaquants atteignent le code vulnérable via env.
Consultez l'avis de l'éditeur pour les versions affectées de deno. Surface d'attaque : env / process.env.
Gravité : Moyenne (CVSS 5.2/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2.8.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'deno' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
denoを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade deno to 2.8.1ステージング環境で 2.8.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com