Pfadüberschreitung (Path Traversal) (CVE-2026-49030)

Was ist betroffen, was ist zu tun

pathe durch 2.0.3 normalisiert auf allen Plattformen, einschließlich POSIX-Systeme, wo der Backslash ein gültiges Dateinamenzeichen ist, Rückwärtsschrägstriche bedingungslos zu Schrägstrichen um. Dies führt dazu, dass join(), resolve() und normalize() durch rückwärts-schraffierte Punkt-Notationen als Verzeichnisdurchquerung interpretieren, was vom Node.js path.posix-Verhalten abweicht und Pfad-Durchquerungsangriffe ermöglicht, die gängige Eingabeverifizierungen in serverseitigen Anwendungen umgehen.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

pathe durch 2.0.3 normalisiert auf allen Plattformen, einschließlich POSIX-Systeme, wo der Backslash ein gültiges Dateinamenzeichen ist, Rückwärtsschrägstriche bedingungslos zu Schrägstrichen um. Dies führt dazu, dass join(), resolve() und normalize() durch rückwärts-schraffierte Punkt-Notationen als Verzeichnisdurchquerung interpretieren, was vom Node.js path.posix-Verhalten abweicht und Pfad-Durchquerungsangriffe ermöglicht, die gängige Eingabeverifizierungen in serverseitigen Anwendungen umgehen. HINWEIS: der Lieferant berichtet, dass "das Verhalten dokumentiert, absichtlich ist und im Geiste identisch zu path.win32."

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: ENISA EUVD, NVD (NIST), cvelistv5

Quellen & Referenzen

• github.comunjs/pathe/issues/240

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 13.09.2026ZurückgewiesenMITRE

2. 13.09.2026Eintrag geändertMITRE

   Beschreibung erfasst oder geändert

   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Tag	entfernt	MITRE: disputed	—
   Beschreibung	geändert	pathe through 2.0.3 unconditionally normalizes backslash characters to forward slashes on all platforms, including POSIX systems where backslash is a valid filename character. This causes join(), resolve(), and normalize() to interpret backslash-separated dot notation sequences as directory traversal, diverging from Node.js path.posix behavior and enabling path traversal attacks that bypass common input validation in server-side applications. NOTE: the Supplier reports that "the behavior is documented, intentional, and identical in spirit to path.win32."	Rejected reason: DO NOT USE THIS CANDIDATE NUMBER. ConsultIDs: none. Reason: This candidate was withdrawn by its CNA. Further investigation showed that it was not a security issue. Notes: none.
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value removed. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/49xxx/CVE-2026-49030.json">CVE-2026-49030</a>
   Referenz	entfernt	MITRE: https://github.com/unjs/pathe/issues/240	—

   Kennung der Quelle: cve@mitre.org

3. 13.09.2026Neu erfasstMITRE

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/unjs/pathe/issues/240
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Tag	ergänzt	—	disputed
   Beschreibung	ergänzt	—	pathe through 2.0.3 unconditionally normalizes backslash characters to forward slashes on all platforms, including POSIX systems where backslash is a valid filename character. This causes join(), resolve(), and normalize() to interpret backslash-separated dot notation sequences as directory traversal, diverging from Node.js path.posix behavior and enabling path traversal attacks that bypass common input validation in server-side applications. NOTE: the Supplier reports that "the behavior is documented, intentional, and identical in spirit to path.win32."
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/49xxx/CVE-2026-49030.json">CVE-2026-49030</a>
   Referenz	ergänzt	—	https://github.com/unjs/pathe/issues/240

   Kennung der Quelle: cve@mitre.org