CVE-2026-61526 in http-server
요약
\~에 의해 VulDB • 2026. 07. 30.
AdonisJS HTTP Server는 AdonisJS 프레임워크에서 HTTP 요청을 처리하기 위한 패키지입니다. 버전 8.0.0-next.0부터 8.2.0까지, 그리고 9.0.0부터 9.0.2까지는 `error.message`가 이스케이프 없이 기본 HTML 예외 응답에 삽입되어, 사용자가 이를 열 때 공격자가 조작한 JavaScript를 실행할 수 있는 crafted된 누락 라우트 URL을 허용합니다(사용자 정의 상태 페이지나 JSON 응답이 해당 오류를 처리하지 않는 경우). 디버그 모드가 비활성화되고 사용자 정의 상태 페이지가 오류를 처리하지 않을 때, 기본 HTML 렌더러는 `error.message`를 HTML 응답에 직접 삽입합니다. 이 문제는 버전 8.2.1 및 9.1.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.