CVE-2026-86251 in h3js
要約
〜によって VulDB • 2026年09月06日
h3の1.15.9より前のバージョンには、serveStaticユーティリティにおけるパストラバーサルの脆弱性が存在します。二重デコーディングの欠陥により、二重エンコードされたドットシーケンス（例: %252e%252e）を含むリクエストパスが%2e%2eにデコードされ、resolveDotSegments()関数が文字列としての'.'のみをチェックするため、この結果はフィルタリングを回避します。生成されたアセットIDがURLベースのバックエンド（CDN、S3、オブジェクトストレージなど）によって解決される際、RFC 3986に従って%2e%2eが'..'として解釈され、バックエンドから任意のファイルを読み取るためのパストラバーサルが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.