🔓 CVE-2025-27210 – Node.js Windows系统高危路径遍历漏洞
🧠 概述
CVE-2025-27210 是 Node.js 中的一个路径遍历漏洞，影响Windows系统。该漏洞涉及 path.normalize() 和 path.join() 函数对Windows保留设备名称（如 CON、AUX、PRN 等）的不当处理。攻击者可利用此行为绕过路径限制，访问未授权的文件或目录。
🛠 受影响版本
- Node.js 20.x 版本 低于20.19.4
- Node.js 22.x 版本 低于22.17.1
- Node.js 24.x 版本 低于24.4.1
✅ 已修复版本
- Node.js 20.19.4
- Node.js 22.17.1
- Node.js 24.4.1
这些版本通过改进Windows上的路径解析方式修复了该问题。
⚠️ 受影响对象
- 仅在 Windows 上运行的Node.js应用程序受影响。
- 任何使用
path.join()或path.normalize()处理用户输入的应用程序可能易受攻击。 - Linux和macOS系统不受影响。
🚨 严重性
- 评级为高危严重性。
- 利用此漏洞可能允许攻击者读取、覆盖或干扰预期目录之外的敏感文件——尤其是在Windows环境中。
🛡️ 缓解措施
- 更新Node.js 至上述已修复版本。
- 审查代码，特别是使用用户输入构建文件路径的部分。
- 验证和清理路径，确保它们保持在预期目录内。
- 考虑使用白名单或路径过滤器以避免不安全访问。
- 更新后监控应用程序的可疑路径访问模式。
🔁 背景
此问题与先前漏洞（CVE-2025-23084）相关，但引入了使用特殊Windows设备名称的新绕过方法。这是Node.js在Windows上早期路径遍历问题的改进版本。
⚠️ 免责声明：
此信息仅用于教育和授权的安全研究目的。使用此知识采取的任何行动必须遵守所有适用法律和道德准则。作者不对信息的任何误用负责。在测试或与任何系统交互之前，请务必获得适当授权。