CVE-2026-33242 in salvo-rs salvo

Resumen

Salvo es un framework web de Rust. Las versiones 0.39.0 a 0.89.2 tienen una vulnerabilidad de salto de ruta y omisión de control de acceso en el componente salvo-proxy. La vulnerabilidad permite a un atacante externo no autenticado omitir las restricciones de enrutamiento del proxy y acceder a rutas de backend no deseadas (p. ej., puntos finales protegidos o paneles administrativos). Este problema se origina en la función encode_url_path, que no normaliza las secuencias '../' y las reenvía inadvertidamente tal cual al servidor ascendente al no volver a codificar el carácter '.'. La versión 0.89.3 contiene un parche.

Responsable

GitHub_M

Reservar

2026-03-18

Divulgación

2026-03-24

Voces

VulDB provides additional information and datapoints for this CVE:

ID	Vulnerabilidad	CWE	Exp	Con	CVE
352611	salvo-rs salvo encode_url_path recorrido de directorios	22	No está definido	Arreglo oficial	CVE-2026-33242