CVE-2026-33732
Publiée le 2026-03-26 · Dernière modification le 2026-06-17
L'adaptateur Node.js pour le serveur srvx est affecté si vous utilisez une version antérieure à la 0.11.13. Un attaquant distant non authentifié peut contourner vos middlewares configurés en envoyant une requête HTTP spécialement conçue utilisant des schémas non standard tels que `file://`, ce qui pourrait lui permettre d'accéder à des chemins restreints. Cette attaque est difficile à exécuter car elle nécessite une structure de requête spécifique et non standard pour déclencher l'anomalie d'analyse.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
srvx is a universal server based on web standards. Prior to version 0.11.13, a pathname parsing discrepancy in srvx's `FastURL` allows middleware bypass on the Node.js adapter when a raw HTTP request uses an absolute URI with a non-standard scheme (e.g. `file://`). Starting in version 0.11.13, the `FastURL` constructor now deopts to native `URL` for any string not starting with `/`, ensuring consistent pathname resolution.