A-Tt-Om

**Nome do Software Vulnerável e Versões Afetadas** Hono versões 4.0.0 até 4.12.26 **Descrição** A função `cx()` em `hono/css` compõe nomes de classes a partir de strings simples, mas marca o resultado como já escapado sem realizar a codificação HTML da entrada. Isso permite que valores de `className` não confiáveis, utilizados em um atributo de classe JSX durante a renderização no lado do servidor, saiam do atributo e injetem marcações arbitrárias. **Recomendações** Atualize para a versão 4.12.27.

**Nome do Software Vulnerável e Versões Afetadas** Echo versões anteriores a 4.15.3 Echo versões anteriores a 5.2.0 **Description** Existe uma discrepância entre o roteador e o manipulador de arquivos estáticos em relação à decodificação do caminho da URL. O roteador corresponde às rotas usando o caminho codificado bruto, preservando `%2F` como está, enquanto a função `StaticDirectoryHandler` decodifica `%2F` para `/` antes de resolver os caminhos do sistema de arquivos. Essa inconsistência permite que um invasor ignore os controles de acesso ao nível de rota para ler arquivos estáticos sem autorização. **Recommendations** Atualize para a versão 4.15.3 ou posterior. Atualize para a versão 5.2.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** @nestjs/platform-fastify versões anteriores a 11.1.24 **Descrição** Existe um bypass de autenticação no adaptador Fastify quando o middleware é registrado através da API `MiddlewareConsumer.forRoutes()`. Um cliente não autenticado pode ignorar o middleware registrado, como guardas de autenticação, limitação de taxa (rate limiting) ou logs, simplesmente adicionando uma barra final (`/`) à URL da requisição. Este problema ocorre com a configuração padrão do adaptador Fastify e afeta especificamente aplicações que utilizam formatos de rota CRUD padrão, como 'GET /resource' e 'GET /resource/:id'. **Recomendações** Atualize para a versão 11.1.24.