CVE-2026-33490

H3 minimal bir H(TTP) freymvorkudur. 2.0.0-0 və 2.0.1-rc.16 versiyalarında h3-dəki `mount()` metodu daxil olan sorğuların quraşdırılmış alt tətbiqin yol prefiksinə uyğun gəlib-gəlmədiyini müəyyən etmək üçün sadə bir `startsWith()` yoxlamasından istifadə edir. Bu yoxlama yol seqmentinin sərhədini (yəni bazadan sonrakı simvolun `/` və ya sətirin sonu olduğunu) təsdiqləmədiyi üçün, `/admin` kimi bir quraşdırmaya qeydiyyatdan keçmiş middleware-lər `/admin-public`, `/administrator` və ya `/adminstuff` kimi əlaqəsiz marşrutlar üçün də icra olunacaqdır. Bu, hücumçuya heç vaxt əhatə etməsi nəzərdə tutulmayan yollarda kontekst təyin edən middleware-ləri tetikləməyə imkan verir ki, bu da sorğu kontekstini arzuolunmaz imtiyaz bayraqları ilə çirkletdirə bilər. Versiya 2.0.2-rc.17 düzəliş ehtiva edir.