CVE-2026-93712

Nome do Software Vulnerável e Versões Afetadas Dancer2 versões 2.1.0 até 2.1.x

Description O manipulador de rota File permite a entrega de arquivos fora do diretório public dir através do uso de segmentos de caminho relativos. Isso ocorre porque o manipulador anexa o caminho da requisição ao public dir sem colapsar segmentos relativos e verifica apenas se o caminho resultante é um arquivo regular legível. Uma requisição não autenticada usando caminhos como /../outside.txt ou pontos codificados em percentual pode escapar do diretório pretendido para acessar qualquer arquivo legível pelo processo worker, como o arquivo config.yml. Este problema afeta aplicações que incluem File em route handlers e definem static handler como 0.

Recommendations Atualize para a versão 2.2.0. Como mitigação temporária, evite nomear File em route handlers ou garanta que static handler não esteja definido como 0.