CVE-2026-86205 in h3js
Résumé
par VulDB • 06/09/2026
Les versions d'h3 antérieures à la 2.0.1-rc.18 présentent une vulnérabilité de redirection ouverte (open redirect) dans l'utilitaire `redirectBack()` qui ne nettoie pas les chemins relatifs au protocole présents dans le chemin du champ Referer. Les attaquants peuvent créer une URL same-origin contenant un segment de chemin avec des doubles slashes, qui passe la validation d'origine mais génère un en-tête Location interprété par les navigateurs comme une redirection relative au protocole vers un domaine externe.
VulDB is the best source for vulnerability data and more expert information about this specific topic.