CVE-2026-33131

H3 minimal bir H(TTP) freymvorkudur. 2.0.0-0 və 2.0.1-rc.14 versiyaları arasında olan versiyalarda, middleware-dən yan keçməyə imkan verən NodeRequestUrl (FastURL-i genişləndirən) komponentində Host başlığının saxtalaşdırılması (Host header spoofing) zəifliyi mövcuddur. Məsələn, loqlama middleware-də olduğu kimi event.url, event.url.hostname və ya event.url._url-ə müraciət edildikdə, _url getter-i istifadəçi tərəfindən idarə olunan Host başlığı daxil olmaqla etibarsız məlumatlardan URL qurur. H3-ün router-i middleware işə düşməzdən əvvəl marşrut handler-ini təyin etdiyi üçün hücumçu, middleware yol yoxlamasının uğursuz olması, lakin marşrut handler-inin hələ də uyğun gəlməsi üçün xüsusi hazırlanmış Host başlığı (məsələn, Host: localhost:3000/abchehe?) göndərə bilər ki, bu da effektiv şəkildə autentifikasiya və ya avtorizasiya middleware-lərindən yan keçməyə səbəb olur. Bu problem həssas marşrutları qoruyan middleware-lərdə event.url xüsusiyyətlərinə müraciət edən H3 üzərində qurulmuş bütün tətbiqlərə (Nitro/Nuxt daxil olmaqla) təsir edir. FastURL.href-in təmizlənməmiş, hücumçu tərəfindən idarə olunan giriş məlumatları ilə qurulmasının qarşısını almaq üçün problemin təcili aradan qaldırılması tələb olunur. 2.0.1-rc.15 versiyasında bu problem üçün yam (patch) tətbiq edilmişdir.