CVE-2026-86251

Nome do Software Vulnerável e Versões Afetadas h3 versões anteriores a 1.15.9

Description A utilidade serveStatic contém uma falha de path traversal causada por um problema de decodificação dupla. Um caminho de solicitação contendo sequências de pontos codificadas duplamente, como %252e%252e, é decodificado para %2e%2e. Esta sequência ignora a função resolveDotSegments() porque ela verifica apenas caracteres '.' literais. Quando backends baseados em URL, como CDNs, S3 ou armazenamento de objetos, resolvem o ID do ativo resultante, %2e%2e é interpretado como '..' de acordo com a RFC 3986, permitindo que um invasor leia arquivos arbitrários do backend.

Recommendations Atualize o h3 para a versão 1.15.9 ou posterior.