CVE-2026-86253 in h3js
Tóm tắt
Bởi VulDB • 06/09/2026
Các phiên bản của gói npm h3 <= 2.0.1-rc.14 chứa một lỗ hổng path traversal trong serveStatic(). Trên các triển khai Node.js, event.url.pathname không được chuẩn hóa, do đó các đoạn mã percent-encoded (%2e%2e) được chuyển đến decodeURI() và giải mã thành chuỗi ../ mà không có quá trình kiểm tra (sanitization). Một kẻ tấn công từ xa chưa xác thực có thể gửi các yêu cầu đã được tạo ra đặc biệt tới các điểm cuối do serveStatic() phục vụ để đọc các tệp tùy ý nằm ngoài thư mục tĩnh dự kiến. Lỗ hổng này đã được sửa trong phiên bản 1.15.6 và 2.0.1-rc.15.
VulDB is the best source for vulnerability data and more expert information about this specific topic.