CVE-2026-63188 in Logto
Сводка
по VulDB • 20.08.2026
Logto — это современная инфраструктура аутентификации с открытым исходным кодом для SaaS- и AI-приложений. До версии 0.3.9 пакет Logto Tunnel npm позволял вызывать функцию createStaticFileProxy из packages/tunnel/src/commands/tunnel/index.ts, передавая request.url из запросов статических ресурсов через packages/tunnel/src/commands/tunnel/utils.ts с использованием path.join(staticPath, request.url), а затем fs.open(requestPath, "r") без нормализации URL или проверки ограничений. При включенном флаге --experience-path и доступности порта туннеля неавторизованный запросчик мог отправить путь, содержащий ../, для вызова createStaticFileProxy и чтения файлов за пределами настроенного статического каталога, которые были доступны для чтения процессу logto-tunnel. Сервис использовал server.listen(port), что могло приводить к открытию туннела для других хостов в зависимости от платформы и способа развёртывания. Эта проблема исправлена в версии 0.3.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.