CVE-2026-54286

Nome do Software Vulnerável e Versões Afetadas serve-static (versões afetadas não especificadas)

Descrição Em hosts Windows, uma barra invertida codificada (%5C) no caminho da requisição é decodificada como , que o resolvedor de caminhos do Windows trata como um separador. Como o roteador divide os caminhos apenas por `/`, uma requisição como `/admin%5Csecret.txt` é tratada como um único segmento, ignorando o middleware montado em prefixos como `/admin/*`. A proteção do `serve-static` permite a passagem de uma única , permitindo que o resolvedor de arquivos a trate como um arquivo aninhado sob a raiz. Isso permite que um invasor não autenticado leia arquivos estáticos que deveriam estar protegidos por middleware montado em prefixo, embora o acesso permaneça restrito ao diretório raiz configurado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.