CVE-2026-86253 in h3js
요약
\~에 의해 VulDB • 2026. 09. 06.
h3 (npm 패키지) 버전 <= 2.0.1-rc.14에는 serveStatic() 함수에서 경로 순회(Path Traversal) 취약점이 존재합니다. Node.js 배포 환경에서는 event.url.pathname이 정규화되지 않아, percent-encoded dot segments(%2e%2e)가 decodeURI()로 전달되어 sanitization 없이 ../ 시퀀스로 디코딩됩니다. 인증 없는 원격 공격자는 serveStatic()에 의해 제공되는 엔드포인트로 조작된 요청을 보내 의도된 정적 디렉토리 외부의 임의 파일을 읽을 수 있습니다. 이 문제는 1.15.6 및 2.0.1-rc.15에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.