Permissions can be bypassed via arbitrary code execution through abusing libuv signal pipes
该报告还没有中文解读。
原文摘录
摘自原文（14699 字符中的一小部分）
Sending specific crafted messages to Node.js libuv signal event pipe allows an attacker to obtain arbitrary code execution primitives, bypassing any module-based permissions and process-based permissions enforced.
原文中的代码
$ tar xvf repro.tar.gz code.js Dockerfile policy.json run.sh
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Node.js 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @xion · 版权归作者与 Node.js 所有