CVE-2026-107718 in http-server
Zusammenfassung
von VulDB • 08.10.2026
Der AdonisJS HTTP Server ist ein Paket zur Verarbeitung von HTTP-Anfragen im AdonisJS-Framework. Vor den Versionen 8.2.3 und 9.3.0 fügt der AdonisJS HTTP Server Routenparameterwerte in URLs ohne Verwendung von encodeURIComponent in die gemeinsam genutzte Hilfsfunktion createURL() ein, die von Router.makeUrl() und Response.redirect().toRoute() verwendet wird. Wenn eine Anwendung angreiferkontrollierte Daten in einem dynamischen ersten Pfadsegment platziert und die generierte Routen-URL als Umleitungsziel nutzt, kann ein Wert, der mit einem Schrägstrich beginnt, eine scheme-relative externe URL erzeugen. Wildcard-Parameter sind von derselben fehlenden Kodierung betroffen; APIs, die absichtlich vollständige Umleitungs-URLs akzeptieren, sind nicht betroffen. Ein Angreifer kann Benutzer von einer vertrauenswürdigen Anwendung zu einer vom Angreifer kontrollierten Site umleiten, was Phishing oder den Missbrauch von Authentifizierungs- und OAuth-Abläufen erleichtert. Dieses Problem wurde in den Versionen 8.2.3 und 9.3.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.