CVE-2026-102657

Nome do Software Vulnerável e Versões Afetadas esm.sh versões anteriores a 137 7

Description O servidor de arquivos estáticos web.NewHandler em web/handler.go não verifica se o resultado da junção do r.URL.Path decodificado com Config.AppDir permanece dentro do diretório de aplicativo configurado. Um invasor remoto não autenticado pode usar segmentos de ponto codificados em URL, como %2e%2e, para ignorar o redirecionamento de travessia realizado pelo ServeMux do Go. Isso permite que o invasor acesse e exponha arquivos fora do Config.AppDir que sejam legíveis pelo processo do servidor, mesmo com o modo Dev desativado.

Recommendations Atualize o esm.sh para a versão 137 7.