CVE-2026-63188

Nome do Software Vulnerável e Versões Afetadas Logto Tunnel versões anteriores a 0.3.9

Description O pacote npm Logto Tunnel contém uma falha onde a função createStaticFileProxy em packages/tunnel/src/commands/tunnel/index.ts processa solicitações de ativos estáticos usando path.join(staticPath, request.url) e fs.open(requestPath, "r") sem realizar a normalização da URL ou verificações de contenção. Quando a flag --experience-path está habilitada e a porta do túnel está acessível, um solicitante não autenticado pode usar sequências de traversal de caminho (ex: ../) através da variável request.url para ler arquivos fora do diretório estático configurado que sejam legíveis pelo processo logto-tunnel. Além disso, o uso de server.listen(port) pode expor o túnel a outros hosts, dependendo do ambiente de implantação.

Recommendations Atualizar para a versão 0.3.9.