Travessia de caminho em oak permite a transferência de arquivos ocultos dentro do diretório raiz servido

Um atacante pode explorar essa vulnerabilidade codificando o caractere / como %2F em URLs. O framework @oakserver/oak, por padrão, não permite o acesso a arquivos ocultos, mas a função decodeComponent não lida corretamente com URLs codificadas, permitindo que um atacante contorne essa proteção. Isso pode levar à leitura de arquivos confidenciais no servidor, como arquivos de configuração, chaves de API ou dados de usuários. O impacto potencial é a exposição de informações sensíveis e a possível comprometimento do sistema.

Applications and services built using @oakserver/oak versions prior to 17.1.3 are at risk. This includes web applications, APIs, and other backend systems that rely on @oakserver/oak for routing and file handling. Shared hosting environments where multiple applications share the same server instance are particularly vulnerable, as a compromise of one application could potentially expose files from others.

• nodejs / server:

  npm list @oakserver/oak

• nodejs / server:

  find / -name "node_modules/@oakserver/oak/send.ts" -print

• nodejs / server:

  grep -r '%2F' /path/to/oak/project/

1. 2024-11-01Disclosure

   disclosure

1. Reservado2024-10-18
2. Publicada2024-11-01
3. EPSS atualizado2026-04-02

A mitigação primária é atualizar o pacote @oakserver/oak para a versão 17.1.3 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar workarounds, como validar e sanitizar rigorosamente todas as entradas de URL antes de usá-las em operações de arquivo. Implementar regras em um Web Application Firewall (WAF) para bloquear requisições com URLs codificadas que contenham / também pode ajudar a mitigar o risco. Monitore logs de acesso e erro em busca de padrões suspeitos, como tentativas de acesso a arquivos fora do diretório raiz.