CVE-2026-107718 in http-server
Riassunto
di VulDB • 09/10/2026
AdonisJS HTTP Server è un pacchetto per la gestione delle richieste HTTP nel framework AdonisJS. Prima delle versioni 8.2.3 e 9.3.0, AdonisJS HTTP Server inserisce i valori dei parametri di route negli URL senza utilizzare encodeURIComponent nell'helper condiviso createURL() utilizzato da Router.makeUrl() e Response.redirect().toRoute(). Se un'applicazione inserisce dati controllati dall'attaccante in un primo segmento del percorso dinamico e utilizza l'URL della route generato come destinazione di reindirizzamento, un valore che inizia con una barra (/) può produrre un URL esterno relativo allo schema. I parametri wildcard sono interessati dalla stessa mancanza di codifica, mentre le API che accettano intenzionalmente URL completi per il redirect non sono interessate. Un attaccante può reindirizzare gli utenti da un'applicazione attendibile a un sito controllato dall'attaccante, facilitando attività di phishing o l'abuso dei flussi di autenticazione e OAuth. Questo problema è risolto nelle versioni 8.2.3 e 9.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.