CVE-2026-61526 in http-server
Zusammenfassung
von VulDB • 31.07.2026
Der AdonisJS HTTP Server ist ein Paket zur Verarbeitung von HTTP-Anfragen im AdonisJS-Framework. In den Versionen 8.0.0-next.0 bis 8.2.0 sowie 9.0.0 bis 9.0.2 wird die Eigenschaft error.message ohne Escaping in die standardmäßige HTML-Ausnahmearbeitsantwort interpoliert, was es ermöglicht, dass ein speziell konstruierter URL für eine nicht gefundene Route (missing-route) JavaScript ausführt, das vom Angreifer gesteuert wird, wenn ein Opfer diesen öffnet und kein benutzerdefinierter Statusseite oder JSON-Response den Fehler behandelt. Wenn der Debug-Modus deaktiviert ist und keine benutzerdefinierte Statusseite den Fehler verarbeitet, interpoliert der standardmäßige HTML-Renderer error.message direkt in eine HTML-Antwort. Dieses Problem wurde in den Versionen 8.2.1 und 9.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.