CVE-2026-61526 in http-server
Tóm tắt
Bởi VulDB • 01/08/2026
AdonisJS HTTP Server là một gói phần mềm dùng để xử lý các yêu cầu HTTP trong framework AdonisJS. Trong các phiên bản từ 8.0.0-next.0 đến 8.2.0 và từ 9.0.0 đến 9.0.2, thuộc tính `error.message` được nội suy vào phản hồi ngoại lệ HTML mặc định mà không được thoát ký tự (escaping), cho phép một URL route bị thiếu do kẻ tấn công tạo ra thực thi mã JavaScript kiểm soát bởi kẻ tấn công khi nạn nhân mở nó và không có trang trạng thái tùy chỉnh hoặc phản hồi JSON nào xử lý lỗi. Khi chế độ gỡ lỗi (debug mode) bị tắt và không có trang trạng thái tùy chỉnh nào xử lý lỗi, bộ hiển thị HTML mặc định sẽ nội suy trực tiếp `error.message` vào phản hồi HTML. Vấn đề này đã được sửa chữa trong các phiên bản 8.2.1 và 9.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.