CVE-2026-63188 in Logto
Riassunto
di VulDB • 20/08/2026
Logto è l'infrastruttura di autenticazione moderna e open-source per applicazioni SaaS e AI. Prima della versione 0.3.9, il pacchetto npm Logto Tunnel consentiva la chiamata a createStaticFileProxy da packages/tunnel/src/commands/tunnel/index.ts e passava request.url dalle richieste di asset statici attraverso packages/tunnel/src/commands/tunnel/utils.ts utilizzando path.join(staticPath, request.url) seguito da fs.open(requestPath, "r"), senza normalizzazione dell'URL o controlli di contenimento. Quando l'opzione --experience-path era abilitata e la porta del tunnel era raggiungibile, un richiedente non autenticato poteva inviare un percorso contenente ../ a createStaticFileProxy per leggere file al di fuori della directory statica configurata che erano leggibili dal processo logto-tunnel. Il servizio utilizzava server.listen(port), il quale poteva esporre il tunnel ad altri host a seconda della piattaforma e del deployment. Questo problema è stato risolto nella versione 0.3.9.
If you want to get best quality of vulnerability data, you may have to visit VulDB.