JVNDB-2026-009612

H3における誤って解決された名前や参照の使用に関する脆弱性

H3は最小限のH(TTP)フレームワークです。バージョン2.0.0-0から2.0.1-rc.16までの間、h3の`mount()`メソッドは、マウントされたサブアプリケーションのパスプレフィックスにリクエストが該当するかどうかを判定するために、単純な`startsWith()`チェックを使用していました。このチェックはパスセグメントの境界（つまり、ベースの次の文字が`/`または文字列の終端であること）を検証しないため、`/admin`のようにマウントされたミドルウェアは、`/admin-public`、`/administrator`、または`/adminstuff`などの無関係なルートでも実行されてしまいます。これにより、攻撃者は本来カバーされるべきでなかったパスでコンテキスト設定ミドルウェアをトリガーし、意図しない権限フラグを持つリクエストコンテキストを汚染する可能性があります。バージョン2.0.2-rc.17にはこの問題を修正したパッチが含まれています。

H3

• H3 2.0.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing Path Segment Boundary Check in `mount()` Causes Middleware Execution on Unrelated Prefix-Matching Routes  Advisory  h3js/h3  GitHub

1. 誤って解決された名前や参照の使用(CWE-706) [その他]

1. CVE-2026-33490

1. National Vulnerability Database (NVD) : CVE-2026-33490

• [2026年04月02日]
    掲載