CVE-2026-33490

H3, minimal bir H(TTP) çerçevesidir. 2.0.0-0 ile 2.0.1-rc.16 arasındaki sürümlerde, h3 içerisindeki `mount()` metodu, gelen isteklerin bağlanan bir alt uygulama yol ön ekine girip girmediğini belirlemek için basit bir `startsWith()` kontrolü kullanır. Bu kontrol bir yol segmenti sınırını (yani temel yoldan sonraki karakterin `/` veya dizgin sonu olduğunu) doğrulamadığı için, `/admin` gibi bir bağlantıya kaydedilen ara yazılımlar; `/admin-public`, `/administrator` veya `/adminstuff` gibi ilgisiz rotalar için de çalışacaktır. Bu durum, bir saldırganın kapsanması amaçlanmayan yollarda bağlam ayarlama ara yazılımlarını tetiklemesine ve potansiyel olarak istek bağlamını istenmeyen yetki bayraklarıyla kirletmesine olanak tanır. 2.0.2-rc.17 sürümü bir yama içermektedir.