CVE-2026-118663

Nome do Software Vulnerável e Versões Afetadas @hono/node-server versões 1.19.10 até 2.1.2

Descrição A função serveStatic decodifica o caminho da requisição uma segunda vez após a aplicação já tê-lo decodificado para o roteamento. Uma sequência percentual malformada pode fazer com que o middleware de rota avalie um caminho codificado enquanto a resolução de arquivos estáticos utiliza um diretório diferente. Isso permite que um invasor não autenticado ignore o middleware montado em um prefixo estático protegido e leia arquivos dentro da raiz estática configurada. Este problema não permite a travessia de diretórios fora da raiz configurada e afeta apenas aplicações que montam middleware em partes do diretório servido por serveStatic.

Recomendações Atualize o @hono/node-server para a versão 2.1.3.