Servor: Path Traversal über URL-kodierte Punkt-Segmente
Zusammenfassung
Servor, ein Node.js-Dateiserver für die Entwicklung, enthält in seiner Verarbeitung statischer Dateien und Verzeichnislisten eine Path-Traversal-Schwachstelle. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann URL-kodierte Punkt-Segmente (%2e%2e/) senden, um das bereitgestellte Root-Verzeichnis zu verlassen. So lassen sich beliebige Dateien lesen und Verzeichnisse ausserhalb des Roots auflisten, was Konfigurationsdateien oder Geheimnisse offenlegen kann, sofern diese nahe beim Webroot liegen.
Betroffen
- Servor 1.0.0 bis 4.0.2
- Die Standardkonfiguration ist laut CVE-Eintrag nicht betroffen; betroffen sind die Handler für statische Dateien und Verzeichnislisten.
Behoben in
- Behoben durch Commit ec7d824ea6903c0fb97a452045bbb8335198cbab ("Prevent path traversal (#70)").
- Behobene Release-Version: Unbekannt. Prüfen Sie die GitHub-Releases und die npm-Registry auf eine Version neuer als 4.0.2, die den Commit enthält.
Umgehung
- Unbekannt. Es wurde keine vom Hersteller genannte Workaround-Massnahme gefunden.
- Die betroffene Version nicht mehr verwenden oder nicht aus unsicheren Netzwerken erreichbar machen.
- Falls der Zugriff bestehen bleiben muss, einen Reverse Proxy davorschalten, der kodierte Punkt-Segmente abweist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- In den geprüften Quellen nicht als aktiv ausgenutzt gelistet.
- In den geprüften Quellen kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- Der EPSS-Wert ist laut Vulners sehr niedrig (0.0056).
Unsere Empfehlung
- Node.js-Projekte und Hosts mit Servor inventarisieren, inklusive Lockfiles und npm-Abhängigkeitslisten.
- Servor entfernen oder isolieren, wo es aus dem Internet oder aus unsicheren Netzwerken erreichbar ist, etwa auf Staging-Systemen oder gemeinsam genutzten Demo-Hosts.
- Auf ein Release mit Commit ec7d824 aktualisieren, sobald die behobene Version bestätigt ist.
- Bereitgestellte Verzeichnisse auf sensible Dateien wie .env-Dateien und Schlüssel prüfen und Logs auf Anfragen mit %2e%2e überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2021-48011 VulnCheck advisory www.vulncheck.com
- Fix commit ec7d824 github.com
- Pull request #70 github.com
- Servor GitHub repository github.com
- OSV CVE-2021-48011 osv.dev
- Vulners PT-2026-110917 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:45.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.