CVE-2026-63188
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Logto Tunnel przed wersją 0.3.9 zawiera podatność na przechodzenie poza katalog (path traversal) w funkcji createStaticFileProxy. Niezautoryzowany atakujący może wysłać żądanie ze ścieżką zawierającą '../' i odczytać pliki poza skonfigurowanym katalogiem statycznym, jeśli port tunelu jest osiągalny.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do plików systemowych, które mogą zawierać wrażliwe dane, jeśli tunel jest wystawiony na sieć.
Rekomendacja
Zaktualizuj pakiet Logto Tunnel do wersji 0.3.9 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Logto is the modern, open-source auth infrastructure for SaaS and AI apps. Prior to 0.3.9, the Logto Tunnel npm package enabled createStaticFileProxy from packages/tunnel/src/commands/tunnel/index.ts and passed request.url from static asset requests through packages/tunnel/src/commands/tunnel/utils.ts using path.join(staticPath, request.url) and then fs.open(requestPath, "r") without URL normalization or a containment check. When --experience-path was enabled and the tunnel port was reachable, an unauthenticated requester could send a path containing ../ to createStaticFileProxy and read files outside the configured static directory that were readable by the logto-tunnel process. The service used server.listen(port), which could expose the tunnel to other hosts depending on the platform and deployment. This issue is fixed in version 0.3.9.