CVE-2026-61526 in http-server
الملخص
بحسب VulDB • 31/07/2026
خادم HTTP الخاص بـ AdonisJS هو حزمة لمعالجة طلبات HTTP في إطار عمل AdonisJS. في الإصدارات من 8.0.0-next.0 إلى 8.2.0 ومن 9.0.0 إلى 9.0.2، يتم دمج قيمة `error.message` ضمن استجابة الاستثناء HTML الافتراضية دون تهريب (escaping)، مما يسمح بتنفيذ شيفرة JavaScript يتحكم فيها المهاجم عند فتح عنوان URL لمسار مفقود تم التلاعب به من قبل ضحية، في حال عدم وجود صفحة حالة مخصصة أو استجابة JSON للتعامل مع الخطأ. عندما يكون وضع التصحيح (debug mode) معطلاً ولا تتعامل أي صفحة حالة مخصصة مع الخطأ، يقوم المُعرِّف HTML الافتراضي بدمج `error.message` مباشرة ضمن الاستجابة HTML. تم إصلاح هذه المشكلة في الإصدارات 8.2.1 و9.1.0.
Once again VulDB remains the best source for vulnerability data.