Към съдържанието
Търсене

CVE-2026-118663: honojs node-server, невалидиран вход

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

@hono/node-server allows running the Hono application on Node.js. From 1.19.10 until 2.1.3, serveStatic decodes a request path a second time after Hono has already decoded it for routing, so a malformed percent-encoded sequence can make route middleware evaluate an encoded path while static file resolution uses a different directory. An unauthenticated attacker can bypass middleware mounted on a protected static prefix and read a file inside the configured static root, although the flaw does not permit traversal outside that root. This issue is fixed in version 2.1.3.

Засегнати продукти

  • honojs node-server: > = 1.19.10, < 2.1.3

Вид слабост

История

  • 28 октомври 2026 Публикувано

Други уязвимости в honojs node-server

Първоизточници

CVE-2026-118663: honojs node-server, невалидиран вход | freedomonline.bg