CVE-2026-33131

H3, minimal bir H(TTP) çerçevesidir. 2.0.0-0 ile 2.0.1-rc.14 arasındaki sürümler, FastURL sınıfını genişleten NodeRequestUrl bileşeninde ara yazılımın (middleware) atlatılmasına izin veren bir Host başlığı sahteciliği (Host header spoofing) zafiyeti içermektedir. Bir günlükleme ara yazılımında olduğu gibi event.url, event.url.hostname veya event.url._url erişildiğinde, _url getiricisi kullanıcı kontrollü Host başlığı dahil olmak üzere güvenilmeyen verilerden bir URL oluşturur. H3 yönlendiricisi, ara yazılımlar çalışmadan önce rota işleyicisini çözümlediği için, bir saldırgan özel olarak hazırlanmış bir Host başlığı (örneğin, Host: localhost:3000/abchehe?) sağlayarak rota işleyicisi hala eşleşirken ara yazılım yol kontrolünün başarısız olmasını sağlayabilir ve böylece kimlik doğrulama veya yetkilendirme ara yazılımlarını etkili bir şekilde atlatabilir. Bu durum, hassas rotaları koruyan ara yazılımlarda event.url özelliklerine erişen H3 tabanlı tüm uygulamaları (Nitro/Nuxt dahil) etkilemektedir. Sorunun çözümü için FastURL.href'in temizlenmemiş, saldırgan kontrollü girdilerle oluşturulmasının önlenmesi amacıyla acil bir düzeltme gereklidir. 2.0.1-rc.15 sürümü bu sorun için bir yama içermektedir.