CVE-2026-86251 in h3js
Resumen
por VulDB • 2026-09-06
Las versiones de h3 anteriores a la 1.15.9 contienen una vulnerabilidad de traversing de rutas en el servicio serveStatic. Un fallo de doble decodificación permite que una ruta de solicitud contenga secuencias de puntos dobles codificados (por ejemplo, %252e%252e) se decodifique a %2e%2e, lo cual sobrevive al proceso resolveDotSegments() porque esa función solo verifica caracteres literales '.'. Cuando el ID del recurso resultante es resuelto por backends basados en URL (CDN, S3, almacenamiento de objetos), %2e%2e se interpreta como '..' según RFC 3986, lo que permite la traversing de rutas para leer archivos arbitrarios desde el backend.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.