CVE-2026-107718
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.3 i 9.3.0, AdonisJS HTTP Server wstawia wartości parametrów trasy do adresów URL bez encodeURIComponent w wspólnym helperze createURL() używanym przez Router.makeUrl() i Response.redirect().toRoute(). Jeśli aplikacja umieszcza dane kontrolowane przez atakującego w dynamicznym pierwszym segmencie ścieżki i używa wygenerowanego adresu URL trasy jako celu przekierowania, wartość zaczynająca się od ukośnika może wyprodukować zewnętrzny URL względny do schematu. Parametry wieloznaczne są dotknięte tym samym brakiem kodowania, podczas gdy API celowo akceptujące pełne adresy URL przekierowań nie są dotknięte. Atakujący może przekierować użytkowników z zaufanej aplikacji na witrynę kontrolowaną przez atakującego, ułatwiając phishing lub nadużycie przepływów uwierzytelniania i OAuth. Ten problem został naprawiony w wersjach 8.2.3 i 9.3.0.
Ocena ryzyka
Atakujący może przekierować użytkowników na złośliwą witrynę, co może prowadzić do phishingu, kradzieży danych uwierzytelniających lub nadużycia przepływów OAuth.
Rekomendacja
Zaktualizuj AdonisJS HTTP Server do wersji 8.2.3 lub 9.3.0 (lub nowszej). Dodatkowo unikaj używania danych kontrolowanych przez użytkownika w dynamicznych segmentach ścieżek używanych do przekierowań.
Inne podatności w AdonisJS HTTP Server
Zobacz wszystkie- CVE-2026-104150Wysokie
AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.
- CVE-2026-61526Średnie
Serwer HTTP AdonisJS w wersjach 8.0.0-next.0 do 8.2.0 oraz 9.0.0 do 9.0.2 interpoluje error.message do domyślnej odpowiedzi HTML bez escapowania. Pozwala to na wykonanie kodu JavaScript kontrolowanego przez atakującego, gdy ofiara otworzy spreparowany URL prowadzący do brakującej trasy, a żadna niestandardowa strona statusu ani odpowiedź JSON nie obsługuje błędu.
Oryginalny opis (angielski, źródło NVD)
AdonisJS HTTP Server is a package for handling HTTP requests in the AdonisJS framework. Prior to 8.2.3 and 9.3.0, AdonisJS HTTP Server inserts route parameter values into URLs without encodeURIComponent in the shared createURL() helper used by Router.makeUrl() and Response.redirect().toRoute(). If an application places attacker-controlled data in a dynamic first path segment and uses the generated route URL as a redirect destination, a value beginning with a slash can produce a scheme-relative external URL. Wildcard parameters are affected by the same missing encoding, while APIs intentionally accepting complete redirect URLs are not affected. An attacker can redirect users from a trusted application to an attacker-controlled site, facilitating phishing or abuse of authentication and OAuth flows. This issue is fixed in versions 8.2.3 and 9.3.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS