CVE-2025-55132: nodejs node.js

csirt@kutim:~/threat-intel/cve/CVE-2025-55132

CVSS 5.3 · Medium EPSS 0,26%

Kerentanan Incorrect Default Permissions pada nodejs node.js. Skor CVSS 3.1 5.3 (Medium) menurut NVD.

Deskripsi (NVD)

A flaw in Node.js's permission model allows a file's access and modification timestamps to be changed via `futimes()` even when the process has only read permissions. Unlike `utimes()`, `futimes()` does not apply the expected write-permission checks, which means file metadata can be modified in read-only directories. This behavior could be used to alter timestamps in ways that obscure activity, reducing the reliability of logs. This vulnerability affects users of the permission model on Node.js v20, v22, v24, and v25.

Rincian

Terbit di NVD: 20 Januari 2026
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 5.3 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-276: Incorrect Default Permissions
EPSS (30 hari): 0,26% peluang dieksploitasi; lebih tinggi dari 17,0% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
nodejs	node.js	Versi 20.0.0 hingga sebelum 20.20.0
nodejs	node.js	Versi 22.0.0 hingga sebelum 22.22.0
nodejs	node.js	Versi 24.0.0 hingga sebelum 24.13.0
nodejs	node.js	Versi 25.0.0 hingga sebelum 25.3.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://nodejs.org/en/blog/vulnerability/december-2025-security-releases release notes · advisory vendor

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.