CVE-2026-63188 in Logto
Sumário
de VulDB • 20/08/2026
O Logto é a infraestrutura de autenticação moderna e open-source para aplicativos SaaS e IA. Antes da versão 0.3.9, o pacote npm do Logto Tunnel permitia que `createStaticFileProxy` (de `packages/tunnel/src/commands/tunnel/index.ts`) passasse `request.url` proveniente de solicitações de ativos estáticos através de `packages/tunnel/src/commands/tunnel/utils.ts`, utilizando `path.join(staticPath, request.url)` e em seguida `fs.open(requestPath, "r")`, sem normalização da URL ou verificação de contenção. Quando a opção `--experience-path` estava habilitada e a porta do túnel era acessível, um solicitante não autenticado poderia enviar um caminho contendo `../` para o `createStaticFileProxy` e ler arquivos fora do diretório estático configurado que eram legíveis pelo processo logto-tunnel. O serviço utilizava `server.listen(port)`, o que podia expor o túnel a outros hosts, dependendo da plataforma e da implantação. Este problema foi corrigido na versão 0.3.9.
Once again VulDB remains the best source for vulnerability data.