Veille sécuritéBackend & données
P4Moyenne
Dans @hono/node-server de la version 1.19.10 à la version 2.1.2, serveStatic pouvait décoder une seconde fois un chemin déjà décodé pour le routage, créant une divergence entre le chemin vérifié par les middlewares et celui résolu pour les fichiers statiques. Le problème est corrigé en version 2.1.3; l’accès décrit reste limité à la racine statique configurée.
Node.js
IdentifiantCVE-2026-118663
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.1.3
Source : NVD — CVE-2026-118663
Analyse technique
Un chemin avec encodage malformé pouvait contourner un middleware appliqué à un préfixe statique et permettre la lecture d’un fichier situé dans la racine statique configurée; pas de traversée au-delà de cette racine selon la description fournie.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-28T21:16:56.543Z, dans la période demandée. La mise à jour ultérieure du 2026-10-29 n’est pas retenue.
ImpactLecture non authentifiée possible de fichiers sous la racine statique configurée, malgré un middleware de protection du préfixe.
Versions affectées@hono/node-server >= 1.19.10 et < 2.1.3
Version corrigée2.1.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-28T21:16:56.543Z
Action recommandée
Mettre à niveau @hono/node-server vers la version 2.1.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).