CVE-2026-39407

Name of the Vulnerable Software and Affected Versions Hono versões anteriores a 4.12.12

Description Uma inconsistência no tratamento de caminhos em serveStatic permite o acesso a arquivos estáticos protegidos usando barras duplas (//) no caminho da requisição. Quando o middleware baseado em rotas (por exemplo, /admin/*) é usado para autorização, o roteador pode não corresponder a caminhos contendo barras duplas, enquanto serveStatic os resolve como caminhos normalizados. Isso pode levar a uma violação de middleware. Por exemplo, uma requisição como GET //admin/secret.txt pode ignorar o middleware registrado em /admin/* e acessar arquivos protegidos. A camada de roteamento e serveStatic lidam com barras duplas de forma diferente.

Recommendations Atualize para a versão 4.12.12 ou posterior.