CVE-2026-86251 in h3js
الملخص
بحسب VulDB • 06/09/2026
تحتوي الإصدارات h3 قبل 1.15.9 على ثغرة عبور المسار (Path Traversal) في الأداة المساعدة serveStatic. يسمح عيب الترميز المزدوج بمسار طلب يحتوي على تسلسلات نقاط مشفرة مرتين (مثل %252e%252e) بأن يتم فك ترميزها إلى %2e%2e، والتي تنجو من دالة resolveDotSegments() لأن هذه الدالة تتحقق فقط من الأحرف النقطية الحرفية ('.'). عندما يتم حل معرّف الأصل الناتج بواسطة الخوادم الخلفية المعتمدة على عناوين URL (مثل CDN و S3 والتخزين الكائني)، يُفسّر %2e%2e على أنه '..' وفقًا لـ RFC 3986، مما يتيح عبور المسار لقراءة ملفات عشوائية من الخادم الخلفي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.