🇰🇷 한글 설명
h3(npm 패키지) 2.0.1-rc.14 이하 버전의 serveStatic() 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. Node.js 환경에서 URL 경로의 퍼센트 인코딩된 점 세그먼트(%2e%2e)가 적절히 정규화되지 않아, 공격자가 의도된 정적 디렉터리 외부의 임의 파일을 읽을 수 있습니다.
💡 쉬운 설명
웹 서버가 파일 경로를 확인하는 과정에서 특수하게 조작된 주소를 제대로 걸러내지 못하는 문제입니다. 이를 통해 해커가 서버 내부에 저장된 중요한 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
h3 (npm package) versions <= 2.0.1-rc.14 contain a path traversal vulnerability in serveStatic(). On Node.js deployments, event.url.pathname is not normalized, so percent-encoded dot segments (%2e%2e) are passed to decodeURI() and decoded to ../ sequences without sanitization. An unauthenticated remote attacker can send crafted requests to endpoints served by serveStatic() to read arbitrary files outside the intended static directory. Fixed in 1.15.6 and 2.0.1-rc.15.
📍 영향받는 시스템
h3 (npm package) versions <= 2.0.1-rc.14
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 %2e%2e와 같이 인코딩된 경로 조작 요청을 전송하여 파일 탈취
🛡️ 대응 방법
h3 패키지를 1.15.6 또는 2.0.1-rc.15 이상의 버전으로 업데이트
🔧 검증 코드
출력된 h3의 버전이 2.0.1-rc.14 이하인지 확인