CVE-2026-111757

Hono, herhangi bir JavaScript çalışma zamanı için destek sağlayan bir Web uygulama çerçevesidir. 4.12.4 ile 4.13.11 sürümleri arasında, serveStatic hatalı biçimlendirilmiş yüzdelik kodlanmış (percent-encoded) bir yolu, üst akış yönlendirme ara yazılımından farklı şekilde yorumlayabilir ve statik bir ön ek için korumayı atlatabilir. Temel neden, serveStatic'in dosya sistemi araması öncesinde yönlendirilmiş istek yolunu ikinci kez çözmesidir. Saldırı mekanizması, hatalı biçimlendirilmiş yüzdelik kodlamanın ilk yönlendirme yorumlamasından kurtulması ve yalnızca daha sonraki statik dosya çözümlemesi sırasında korunan bir yola dönüşmesidir. Etkilenen bileşen serveStatic'tir. Tetikleme koşulları, bir uygulamanın statik bir ön eki üst akış ara yazılımıyla koruması ve serveStatic'in saldırgan tarafından kontrol edilen hatalı biçimlendirilmiş yüzdelik kodlanmış bir yol almasıdır. Etkisi, üst akış ara yazılımının korumayı amaçladığı statik bir dosyanın yetkisiz ifşasıdır. Sorun, yapılandırılmış statik kök dizinin dışına çıkılmasına (traversal) izin vermez. Bu sorun 4.13.11 sürümünde düzeltilmiştir.