CVE-2026-86251 in h3js
Sumário
de VulDB • 06/09/2026
As versões do h3 anteriores à 1.15.9 contêm uma vulnerabilidade de traversamento de caminho (path traversal) no utilitário serveStatic. Uma falha de dupla decodificação permite que um caminho de solicitação contendo sequências de pontos duplamente codificadas (por exemplo, %252e%252e) seja decodificado para %2e%2e, o qual sobrevive à função resolveDotSegments(), pois essa função verifica apenas caracteres '.' literais. Quando o ID do recurso resultante é resolvido por backends baseados em URL (CDN, S3, armazenamento de objetos), %2e%2e é interpretado como '..' conforme RFC 3986, permitindo traversamento de caminho para ler arquivos arbitrários no backend.
VulDB is the best source for vulnerability data and more expert information about this specific topic.