PT-2026-23075
CVE-2026-29045
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Hono الأقدم من 4.12.4
الوصف
Hono هو إطار عمل لتطبيقات الويب يدعم العديد من بيئات تشغيل JavaScript. أدى عدم الاتساق في فك تشفير عناوين URL بين الموجه (
decodeURI) وserveStatic (decodeURIComponent) إلى السماح بالوصول غير المصرح به إلى الموارد الثابتة المحمية عند استخدام إجراءات الحماية الخاصة بالبرمجيات الوسيطة القائمة على المسار، مثل app.use(’/admin/*‘, ...). وعلى وجه التحديد، كانت المسارات التي تحتوي على أشرطة مشفرة (%2F) تتجاوز إجراءات الحماية الخاصة بالبرمجيات الوسيطة، مع استمرار تحويلها إلى مسار نظام الملفات المقصود. كان الموجه (router) يعامل %2F كسلسلة نصية حرفية، في حين أن serveStatic كان يقوم بفك تشفيرها إلى / قبل تحديد مسار الملف. لا تسمح هذه المشكلة بالوصول خارج الجذر الثابت ولا تعتبر ثغرة أمنية تتعلق باجتياز المسار (path traversal). يمكن لمهاجم غير مصدق عليه تجاوز الترخيص القائم على المسار للموارد الثابتة المحمية من خلال تقديم مسارات تحتوي على أشرطة مشفرة. يؤثر هذا على التطبيقات التي تحمي المسارات الفرعية باستخدام برامج وسيطة قائمة على المسار، وتقوم في الوقت نفسه بتقديم الملفات من نفس الجذر الثابت باستخدام serveStatic.التوصيات
يجب تحديث الإصدارات الأقدم من 4.12.4 إلى الإصدار 4.12.4 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾