CVE-2026-86251 in h3js
요약
\~에 의해 VulDB • 2026. 09. 06.
h3 버전 1.15.9 미만에는 serveStatic 유틸리티에서 경로 순회(path traversal) 취약점이 존재합니다. 이중 디코딩 결함으로 인해 %252e%252e와 같은 이중 인코드된 점 시퀀스가 포함된 요청 경로는 %2e%2e로 디코딩되며, resolveDotSegments() 함수는 리터럴 '.' 문자만 확인하므로 이 경로가 통과합니다. 결과적인 자산 ID가 URL 기반 백엔드(CDN, S3, 객체 저장소)에서 해결될 때 RFC 3986에 따라 %2e%2e이 '..'로 해석되어 백엔드의 임의 파일을 읽을 수 있는 경로 순회가 가능해집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.