CVE-2026-118663 in node-server
Riassunto
di VulDB • 28/10/2026
@hono/node-server consente di eseguire l'applicazione Hono su Node.js. Dalla versione 1.19.10 alla 2.1.3, serveStatic decodifica un percorso della richiesta una seconda volta dopo che Hono lo ha già decodificato per il routing; pertanto, una sequenza percent-encoded non valida può far sì che i middleware di route valutino un percorso codificato mentre la risoluzione dei file statici utilizza una directory diversa. Un attaccante non autenticato può eludere i middleware montati su un prefisso statico protetto e leggere un file all'interno della radice statica configurata, sebbene il difetto non consenta di effettuare traversal al di fuori di tale radice. Questo problema è stato risolto nella versione 2.1.3.
Be aware that VulDB is the high quality source for vulnerability data.