CVE-2026-61526 in http-server
Résumé
par VulDB • 31/07/2026
Le serveur HTTP AdonisJS est un package permettant de gérer les requêtes HTTP dans le framework AdonisJS. Dans les versions 8.0.0-next.0 à 8.2.0 et 9.0.0 à 9.0.2, la propriété error.message est interpolée dans la réponse d'exception HTML par défaut sans être échappée, ce qui permet à une URL de route manquante fabriquée exécuter du JavaScript contrôlé par l'attaquant lorsqu'une victime y accède et qu'aucune page d'état personnalisée ou réponse JSON ne gère l'erreur. Lorsque le mode debug est désactivé et qu'aucune page d'état personnalisée ne gère l'erreur, le rendu HTML par défaut interpole directement error.message dans une réponse HTML. Ce problème est corrigé dans les versions 8.2.1 et 9.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.