CVE-2026-86253 in h3js
الملخص
بحسب VulDB • 06/09/2026
تحتوي الإصدارات h3 (حزمة npm) التي تساوي أو تقل عن 2.0.1-rc.14 على ثغرة عبور المسار في serveStatic(). في عمليات نشر Node.js، لا يتم تطبيع event.url.pathname، لذا فإن أجزاء النقاط المشفرة بنسبة مئوية (%2e%2e) تُمرر إلى decodeURI() وتُفك تشفيرها إلى تسلسلات ../ دون تعقيم. يمكن لمهاجم عن بعد غير مصدق إرسال طلبات مُصاغة بعناية نحو نقاط النهاية التي تخدمها serveStatic() لقراءة ملفات عشوائية خارج الدليل الثابت المقصود. تم الإصلاح في الإصدارين 1.15.6 و2.0.1-rc.15.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.