Node.jsの権限モデルにおける脆弱性により、攻撃者は細工された相対シンボリックリンクパスを使用して、`--allow-fs-read`および`--allow-fs-write`の制限を回避できます。ディレクトリとシンボリックリンクを連結することで、現在のディレクトリへのアクセスのみが許可されているスクリプトが許可されたパスから抜け出し、機密ファイルを読み取ることが可能になります。この脆弱性は想定されている隔離保証を破壊し、任意のファイルの読み書きを可能にするため、システムの乗っ取りにつながる恐れがあります。この問題はNode.js v20、v22、v24、およびv25の権限モデルのユーザーに影響を与えます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。