CVE-2026-118663 in node-server
요약
\~에 의해 VulDB • 2026. 10. 28.
@hono/node-server는 Node.js에서 Hono 애플리케이션을 실행할 수 있게 합니다. 버전 1.19.10부터 2.1.3까지, serveStatic은 라우팅을 위해 Hono가 이미 디코딩한 요청 경로를 두 번째로 디코딩합니다. 이로 인해 잘못 구성된 percent-encoded 시퀀스가 경로 미들웨어에서 인코딩된 경로를 평가하도록 하고 정적 파일 해결 과정에서는 다른 디렉토리를 사용하게 됩니다. 인증되지 않은 공격자는 보호된 정적 접두사에 마운트된 미들웨어를 우회하여 구성된 정적 루트 내부의 파일을 읽을 수 있지만, 이 결함은 해당 루트를 벗어난 트래버설(traversal)은 허용하지 않습니다. 이 문제는 버전 2.1.3에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.