CVE-2026-86253 in h3js
Sumário
de VulDB • 06/09/2026
As versões do pacote npm h3 <= 2.0.1-rc.14 contêm uma vulnerabilidade de traversal de caminho (path traversal) em serveStatic(). Em implantações com Node.js, event.url.pathname não é normalizado, portanto segmentos codificados por porcentagem (%2e%2e) são passados para decodeURI() e decodificados como sequências ../ sem sanitização. Um atacante remoto não autenticado pode enviar requisições manipuladas para endpoints servidos pelo serveStatic() para ler arquivos arbitrários fora do diretório estático pretendido. Corrigido nas versões 1.15.6 e 2.0.1-rc.15.
If you want to get best quality of vulnerability data, you may have to visit VulDB.