Package map subpath resolves outside the target package directory

Offen

#65,501 erstellt am 23.8.2026 0 Kommentare 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 70/100

Issue-Typ: Bug
Klarheit: Klar beschrieben
Aktivitätsstatus: Aktiv
Tech-Stack: javascript, node.js
Bereich: backend, security

Rechercherichtung

Beginne damit, die Reproduktion von package-map.json mit app/index.js und node --experimental-package-map auszuführen. Verfolge, wie der dep-Subpfad aufgelöst wird, wenn er ../../secret.js enthält, und überprüfe, dass die Auflösung jeden Pfad außerhalb von dep mit ERR_INVALID_MODULE_SPECIFIER ablehnt.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Version

v26.5.0

Platform

Subsystem

module

What steps will reproduce the bug?

  // package-map.json
  {
    "packages": {
      "app": { "url": "./app", "dependencies": { "dep": "dep" } },
      "dep": { "url": "./dep", "dependencies": {} }
    }
  }

  // app/index.js
  require('dep/../../secret.js');

node --experimental-package-map ./package-map.json app/index.js

How often does it reproduce? Is there a required condition?

always

What is the expected behavior? Why is that the expected behavior?

Resolution should fail with ERR_INVALID_MODULE_SPECIFIER, because the subpath escapes the target package's own directory (dep) as declared in the package map.

What do you see instead?

The specifier resolves successfully to a file outside the target package directory.

Additional information

No response

Vorherrschende Sprache: JavaScript
Sterne: 122k
Forks: 37.4k
Ø Merge: 4 T. 2 Std.
Gemergte PRs (30 T.): 277

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus nodejs/node

Stream.prototype.forEach will block in first promise in queue before read more chunk Offen

doc

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 65/100

nodejs/node#66106 · Erstellt am 18.9.2026
nodejs 26.8.2 fails to build with clang/LLVM Offen

build

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 88/100

nodejs/node#66076 · 2 Kommentare · Erstellt am 17.9.2026
`TextEncoder.encodeInto()` underfills the destination for some non-ASCII text Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100

nodejs/node#65994 · 2 Kommentare · 2 Reaktionen · Erstellt am 11.9.2026
worker: `messageerror` listeners remain during `exit` Offen

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 90/100

nodejs/node#65782 · Erstellt am 04.9.2026
[`util.styleText`] Allow `text` param to be any scalar value (ex. `number`, `bool` etc additionaly to `string`) which will be casted internally to `string` Offen

feature request

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

nodejs/node#63841 · 1 Kommentar · Erstellt am 10.6.2026

Alle Issues in nodejs/node