CVE-2026-86253
Təsvir
h3 (npm paketi) versiyaları <= 2.0.1-rc.14 serveStatic() funksiyasında yol keçmə (path traversal) zəifliyi ehtiva edir. Node.js yerləşdirmələrində event.url.pathname normallaşdırılmır, buna görə faizlə kodlanmış nöqtə seqmentləri (%2e%2e) decodeURI() funksiyasına ötürülür və sanitizasiya olmadan ../ ardıcıllıqlarına dekodlanır. Autentifikasiyadan keçməmiş uzaq təcavüzkar serveStatic() tərəfindən xidmət edilən endpoint-lərə xüsusi hazırlanmış sorğular göndərərək nəzərdə tutulan statik qovluqdan kənarda ixtiyari faylları oxuya bilər. 1.15.6 və 2.0.1-rc.15 versiyalarında düzəldilib.
Necə düzəltmək olar
- h32.0.1-rc.15, 1.15.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| h3npm | 2.0.0 ≤ v < 2.0.1-rc.15, v < 1.15.6 | 2.0.1-rc.15, 1.15.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.