CVE-2026-118663
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W @hono/node-server od wersji 1.19.10 do 2.1.3 funkcja serveStatic dekoduje ścieżkę żądania po raz drugi po tym, jak Hono już ją zdekodowało do routingu. Zniekształcona sekwencja procentowa może spowodować, że middleware routingu oceni zakodowaną ścieżkę, podczas gdy rozwiązywanie plików statycznych użyje innego katalogu.
Ocena ryzyka
Nieuwierzytelniony atakujący może ominąć middleware chroniące statyczny prefiks i odczytać plik wewnątrz skonfigurowanego katalogu statycznego, co prowadzi do nieautoryzowanego dostępu do plików.
Rekomendacja
Zaktualizuj @hono/node-server do wersji 2.1.3 lub nowszej. Upewnij się, że middleware autoryzacyjne prawidłowo obsługuje zdekodowane ścieżki.
Inne podatności w @hono/node-server
Zobacz wszystkie- CVE-2026-73565Średnie
@hono/node-server w wersjach od 2.0.0 do 2.0.10 ma podatność w obsłudze WebSocket, gdzie żądanie upgrade z brakującym lub nieprawidłowym nagłówkiem Sec-WebSocket-Key powoduje, że żądanie pozostaje w waiterMap i nie ma ścieżki oczyszczania po przerwaniu uzgadniania. Pozwala to nieuwierzytelnionemu atakującemu na zalewanie publicznej trasy, powodując nieograniczony wzrost pamięci i niedostępność usługi.
- CVE-2026-39406Średnie
@hono/node-server przed wersją 1.19.13 ma niespójność w obsłudze ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Middleware oparte na trasach (np. /admin/*) może nie dopasować ścieżek z powtarzającymi się ukośnikami, podczas gdy serveStatic rozwiązuje je jako znormalizowane ścieżki, co prowadzi do obejścia autoryzacji.
Oryginalny opis (angielski, źródło NVD)
@hono/node-server allows running the Hono application on Node.js. From 1.19.10 until 2.1.3, serveStatic decodes a request path a second time after Hono has already decoded it for routing, so a malformed percent-encoded sequence can make route middleware evaluate an encoded path while static file resolution uses a different directory. An unauthenticated attacker can bypass middleware mounted on a protected static prefix and read a file inside the configured static root, although the flaw does not permit traversal outside that root. This issue is fixed in version 2.1.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS