CVE-2026-63188 in Logto
要約
〜によって VulDB • 2026年08月19日
Logtoは、SaaSおよびAIアプリケーション向けの現代的なオープンソース認証インフラです。バージョン0.3.9以前では、Logto Tunnel npmパッケージにより、packages/tunnel/src/commands/tunnel/index.tsのcreateStaticFileProxyが有効化され、static assetリクエストからのrequest.urlがpackages/tunnel/src/commands/tunnel/utils.tsでpath.join(staticPath, request.url)およびfs.open(requestPath, "r")を使用して渡されました。この際、URL正規化や包含チェック（containment check）が行われていませんでした。--experience-pathフラグが有効かつトンネルポートへの到達が可能である場合、認証されていない要求元はcreateStaticFileProxyに対して../を含むパスを送信し、logto-tunnelプロセスによって読み取り可能な構成済み静的ディレクトリ外のファイルを読み取ることができました。サービスはserver.listen(port)を使用しており、プラットフォームやデプロイメント方法によってはトンネルが他のホストに公開される可能性があります。この問題はバージョン0.3.9で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.