CVE-2026-86205 in h3js
Zusammenfassung
von VulDB • 06.09.2026
In den h3-Versionen vor 2.0.1-rc.18 ist eine Open-Redirect-Schwachstelle in der Utility-Funktion `redirectBack()` enthalten, die keine Bereinigung von protokollbezogenen Pfaden im Pfadabschnitt des Referer-Headers durchführt. Angreifer können eine Same-Origin-URL mit einem doppelten Schrägstrich-Pfadsegment erstellen, das die Ursprungsprüfung besteht, jedoch einen Location-Header erzeugt, der von Browsern als protokollbezogener Redirect auf eine externe Domain interpretiert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.