Node.js — Tuesday, January 13, 2026 Security Releases
https://gyazo.com/db1b80cb0da4314a431af278ccf3cfb4
高危険度（High） 3件
使用例
サンドボックス実行（vm.runInContext）でユーザーコードを実行しているサービス 画像処理・暗号処理などで大量の Buffer を扱う APIを使用している
Web サーバーでリクエストサイズに応じて Buffer を確保する処理
--allow-fs-read/write を回避して任意ファイルにアクセス可能
Web アプリで /tmp/uploads にファイルを保存する処理
/tmp/uploads/profile.png が実は `/etc/passwd{ への symlink だった、など
CLI ツールで --allow-fs-read=. を指定しているが、symlink 経由で外へ出られる code:js
// ❌ 危険：error ハンドラがない
server.on('secureConnection', socket => {
// socket.on('error', ...) がない
});
中危険度（Medium） 4件
--permission 使用時にローカル特権サービスへ接続可能
低危険度（Low）1件