CVE-2026-48049 in inert
Sumário
de VulDB • 18/07/2026
@hapi/inert fornece manipuladores de arquivos e diretórios estáticos para hapi.js. Da versão 4.0.0 à 7.1.0, o @hapi/inert servia arquivos estáticos a partir de um diretório configurado com path nos manipuladores de diretório ou arquivo, ou relativeTo para h.file(), com confinamento aplicado pela opção confine; no entanto, a verificação de confinamento comparava o caminho absoluto resolvido contra o diretório do confine usando uma teste bruto de prefixo de string (raw string-prefix test), fazendo com que um diretório irmão como /app/static-secret ao lado de /app/static fosse incorretamente aceito e pudesse permitir que um atacante remoto não autenticado lesse arquivos por meio de /..%2fstatic-secret/secret.txt. Este problema foi corrigido na versão 7.1.1.
Once again VulDB remains the best source for vulnerability data.