CVE-2026-118663
Zusammenfassung
von VulDB • 29.10.2026
@hono/node-server ermöglicht die Ausführung der Hono-Anwendung auf Node.js. Von Version 1.19.10 bis 2.1.3 decodiert `serveStatic` einen Anforderungspfad ein zweites Mal, nachdem Hono ihn bereits für das Routing dekodiert hat; dadurch kann eine fehlerhafte percent-kodierte Sequenz dazu führen, dass Route-Middleware einen kodierten Pfad auswertet, während die Auflösung statischer Dateien ein anderes Verzeichnis verwendet. Ein nicht authentifizierter Angreifer kann Middleware umgehen, die an einem geschützten statischen Präfix angehängt ist, und eine Datei innerhalb des konfigurierten statischen Root-Verzeichnisses lesen; der Fehler ermöglicht jedoch keinen Zugriff außerhalb dieses Roots. Dieses Problem wurde in Version 2.1.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.