CVE-2026-28807

Nome do Software Vulnerável e Versões Afetadas gleam-wisp wisp versões 2.1.1 a 2.2.0

Descrição Uma vulnerabilidade de travessia de caminho existe no gleam-wisp wisp que permite a leitura arbitrária de arquivos por meio de travessia de caminho codificada em porcentagem. A função wisp.serve static é suscetível porque a sanitização ocorre antes da decodificação em porcentagem. A sequência codificada %2e%2e contorna a substituição de strings e é então convertida para .. pela função uri.percent decode, permitindo a travessia de diretórios ao ler o arquivo. Um invasor não autenticado pode ler qualquer arquivo acessível ao processo da aplicação com uma única solicitação HTTP, potencialmente incluindo código-fonte, arquivos de configuração, segredos e arquivos do sistema.

Recomendações Atualize o gleam-wisp wisp para a versão 2.2.1 ou posterior.