CVE-2026-39406
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
@hono/node-server przed wersją 1.19.13 ma niespójność w obsłudze ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Middleware oparte na trasach (np. /admin/*) może nie dopasować ścieżek z powtarzającymi się ukośnikami, podczas gdy serveStatic rozwiązuje je jako znormalizowane ścieżki, co prowadzi do obejścia autoryzacji.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do chronionych plików statycznych, takich jak konfiguracje lub dane wrażliwe.
Rekomendacja
Należy zaktualizować @hono/node-server do wersji 1.19.13 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
@hono/node-server allows running the Hono application on Node.js. Prior to 1.19.13, a path handling inconsistency in serveStatic allows protected static files to be accessed by using repeated slashes (//) in the request path. When route-based middleware (e.g., /admin/*) is used for authorization, the router may not match paths containing repeated slashes, while serveStatic resolves them as normalized paths. This can lead to a middleware bypass. This vulnerability is fixed in 1.19.13.