PT-2026-129184
CVE-2026-118663
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@hono/node-server الإصدارات من 1.19.10 إلى 2.1.2
الوصف
تقوم دالة
serveStatic بفك ترميز مسار الطلب للمرة الثانية بعد أن قام التطبيق بالفعل بفك ترميزه لغرض التوجيه. يمكن أن تؤدي تسلسلات الترميز المئوي (percent-encoded) المشوهة إلى جعل برمجية الوسيط (middleware) الخاصة بالتوجيه تقيم مساراً مشفراً بينما تستخدم عملية تحليل الملفات الثابتة دليلاً مختلفاً. يتيح ذلك لمهاجم غير مصرح له تجاوز برمجية الوسيط المثبتة على بادئة ثابتة محمية وقراءة ملف داخل الجذر الثابت المكون. لا يسمح هذا الخلل بتجاوز الدليل خارج الجذر المكون، ويؤثر فقط على التطبيقات التي تثبت برمجية وسيط على أجزاء من الدليل الذي تخدمه دالة serveStatic.التوصيات
تحديث @hono/node-server إلى الإصدار 2.1.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾