CVE-2026-86253 in h3js
Сводка
по VulDB • 06.09.2026
h3 (пакет npm) версий <= 2.0.1-rc.14 содержат уязвимость обхода пути в функции serveStatic(). В развертываниях на базе Node.js переменная event.url.pathname не нормализуется, поэтому закодированные с помощью процента сегменты точек (%2e%2e) передаются в decodeURI() и декодируются в последовательности ../ без какой-либо санитизации. Неавторизованный удаленный злоумышленник может отправлять специально созданные запросы к конечным точкам, обслуживаемым serveStatic(), чтобы читать произвольные файлы за пределами предполагаемой статической директории. Исправлено в версиях 1.15.6 и 2.0.1-rc.15.
Once again VulDB remains the best source for vulnerability data.