PT-2026-23096
CVE-2026-29087
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات @hono/node-server الأقدم من 1.19.10
الوصف
يتيح @hono/node-server تشغيل تطبيق Hono على Node.js. عند استخدام خدمة الملفات الثابتة مع حماية البرمجيات الوسيطة القائمة على المسارات، قد يؤدي فك تشفير عناوين URL بشكل غير متسق إلى السماح بالوصول إلى الموارد الثابتة المحمية دون إذن. قد يتم تقييم المسارات التي تحتوي على أشرطة مشفرة (
%2F) بشكل مختلف من قبل مطابقة التوجيه/البرمجيات الوسيطة مقارنةً بحل مسار الملف الثابت، مما يسمح بتجاوز حيث لا يتم تنفيذ البرمجيات الوسيطة، ولكن يتم تقديم الملف الثابت مع ذلك. تحتفظ طبقة التوجيه بـ %2F كسلسلة حرفية عند مطابقة المسارات، بينما يقوم معالج الملفات الثابتة بفك ترميز %2F إلى / قبل تحديد مسار نظام الملفات. وهذا لا يسمح بالوصول خارج الجذر الثابت المُعد، ولا يُعد ذلك ثغرة أمنية تتعلق باجتياز المسار. يمكن لمهاجم غير مصدق أن يتجاوز إجراءات الحماية القائمة على الترخيص المستندة إلى المسارات للموارد الثابتة المحمية عن طريق تقديم مسارات تحتوي على أشرطة مشفرة. قد تكون التطبيقات التي تعتمد حصريًّا على البرامج الوسيطة المستندة إلى المسارات لحماية المسارات الفرعية الثابتة ضمن نفس الجذر الثابت قد عرّضت هذه الموارد للخطر.التوصيات
يجب تحديث الإصدارات الأقدم من 1.19.10 إلى الإصدار 1.19.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾