CVE-2026-86251
Açıklama
1.15.9 öncesindeki h3 sürümleri, serveStatic yardımcı programında bir dizinlemesine geçiş (path traversal) zafiyeti içermektedir. Çift kod çözme hatası, çift kodlanmış nokta dizileri (örneğin %252e%252e) içeren bir istek yolunun %2e%2e şeklinde kodunun çözülmesine izin verir; bu durum resolveDotSegments() fonksiyonunun yalnızca gerçek '.' karakterlerini kontrol etmesi nedeniyle engellenemez. Ortaya çıkan varlık kimliği (asset ID), URL tabanlı arka uçlar (CDN, S3, nesne depolama) tarafından çözümlendiğinde, %2e%2e ifadesi RFC 3986 uyarınca '..' olarak yorumlanır ve bu da arka uçtan rastgele dosyaların okunmasını sağlayan dizinlemesine geçişe olanak tanır.
Nasıl düzeltilir
- h31.15.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| h3npm | v < 1.15.9 | 1.15.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.