CVE-2026-61526 in http-server
要約
〜によって VulDB • 2026年07月31日
AdonisJS HTTP Serverは、AdonisJSフレームワーク内でHTTPリクエストを処理するためのパッケージです。バージョン8.0.0-next.0から8.2.0および9.0.0から9.0.2では、error.messageがエスケープされずにデフォルトのHTML例外レスポンスに挿入されるため、攻撃者が操作可能なJavaScriptを実行できるような改ざんされたmissing-route URLを、被害者が開いた際に実行されてしまいます。これは、カスタムステータスページやJSONレスポンスでエラーハンドリングが行われない場合に発生します。デバッグモードが無効化されており、かつカスタムステータスページがエラーを処理しない場合、デフォルトのHTMLレンダラーはerror.messageを直接HTMLレスポンスに挿入します。この問題はバージョン8.2.1および9.1.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.