CVE-2026-40255

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.2 i 9.1.1 wyrażenie regularne zwracane przez router.matchers.slug() zawiera sąsiadujące zachłanne powtórzenia z nakładającymi się klasami znaków. Gdy aplikacja stosuje ten matcher do kontrolowanego przez atakującego parametru trasy, długi slug kończący się znakiem odrzuconym przez końcową asercję powoduje kwadratowe cofanie i nadmierne zużycie CPU.

AdonisJS HTTP Server to pakiet do obsługi żądań HTTP w frameworku AdonisJS. Przed wersjami 8.2.3 i 9.3.0, AdonisJS HTTP Server wstawia wartości parametrów trasy do adresów URL bez encodeURIComponent w wspólnym helperze createURL() używanym przez Router.makeUrl() i Response.redirect().toRoute(). Jeśli aplikacja umieszcza dane kontrolowane przez atakującego w dynamicznym pierwszym segmencie ścieżki i używa wygenerowanego adresu URL trasy jako celu przekierowania, wartość zaczynająca się od ukośnika może wyprodukować zewnętrzny URL względny do schematu. Parametry wieloznaczne są dotknięte tym samym brakiem kodowania, podczas gdy API celowo akceptujące pełne adresy URL przekierowań nie są dotknięte. Atakujący może przekierować użytkowników z zaufanej aplikacji na witrynę kontrolowaną przez atakującego, ułatwiając phishing lub nadużycie przepływów uwierzytelniania i OAuth. Ten problem został naprawiony w wersjach 8.2.3 i 9.3.0.

Serwer HTTP AdonisJS w wersjach 8.0.0-next.0 do 8.2.0 oraz 9.0.0 do 9.0.2 interpoluje error.message do domyślnej odpowiedzi HTML bez escapowania. Pozwala to na wykonanie kodu JavaScript kontrolowanego przez atakującego, gdy ofiara otworzy spreparowany URL prowadzący do brakującej trasy, a żadna niestandardowa strona statusu ani odpowiedź JSON nie obsługuje błędu.