CVE-2026-111757

Nome do Software Vulnerável e Versões Afetadas Hono versões 4.12.4 through 4.13.10

Description O componente serveStatic no framework de aplicação web Hono decodifica incorretamente um caminho de requisição roteado uma segunda vez antes de realizar a busca no sistema de arquivos. Esse comportamento permite que um caminho com codificação percentual malformada ignore os mecanismos de proteção implementados por middlewares de roteamento upstream. Quando uma aplicação protege um prefixo estático usando tais middlewares, um invasor pode fornecer um caminho com codificação percentual malformada especificamente criado que sobrevive à verificação de roteamento inicial, mas é decodificado em um caminho protegido durante a busca do arquivo estático. Isso pode levar à divulgação não autorizada de arquivos estáticos, embora não permita a travessia fora da raiz estática configurada.

Recommendations Atualize para a versão 4.13.11. Como mitigação temporária, restrinja o acesso ao componente serveStatic ou garanta que a validação de entrada seja aplicada aos caminhos de requisição antes que eles cheguem ao manipulador de arquivos estáticos.