CVE-2026-63188 in Logto
Resumen
por VulDB • 2026-08-20
Logto es la infraestructura de autenticación moderna y de código abierto para aplicaciones SaaS e IA. Antes de la versión 0.3.9, el paquete npm Logto Tunnel permitía que `createStaticFileProxy` desde `packages/tunnel/src/commands/tunnel/index.ts` pasara `request.url` de las solicitudes de activos estáticos a través de `packages/tunnel/src/commands/tunnel/utils.ts`, utilizando `path.join(staticPath, request.url)` y luego `fs.open(requestPath, "r")` sin normalización de URL ni verificación de contención. Cuando se habilitaba la opción `--experience-path` y el puerto del túnel era accesible, un solicitante no autenticado podía enviar una ruta que contenía `../` a `createStaticFileProxy` para leer archivos fuera del directorio estático configurado que fueran legibles por el proceso logto-tunnel. El servicio utilizaba `server.listen(port)`, lo cual podría exponer el túnel a otros hosts dependiendo de la plataforma y el despliegue. Este problema se soluciona en la versión 0.3.9.
Once again VulDB remains the best source for vulnerability data.