CVE-2026-111757 Omisión de middleware en rutas estáticas por doble decodificación en serveStatic de Hono

Qué es CVE-2026-111757

Hono, desde 4.12.4 hasta 4.13.11, permite que serveStatic interprete una ruta con codificación percent malformada de forma distinta al middleware de enrutamiento y omita la protección de un prefijo estático. La causa es que serveStatic decodifica por segunda vez la ruta antes de buscar en el sistema de archivos. El impacto es la divulgación no autorizada de un archivo estático que el middleware debía proteger; no permite recorrido fuera del directorio configurado.

Productos y versiones afectadas

• honojs hono

  • >= 4.12.4, < 4.13.11

Qué hacer

1. Verificá si usás hono y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Hono is a Web application framework that provides support for any JavaScript runtime. From 4.12.4 until 4.13.11, serveStatic can interpret a malformed percent-encoded path differently from upstream routing middleware and bypass protection for a static prefix. The root cause is serveStatic decodes a routed request path a second time before filesystem lookup. The attack mechanism is malformed percent encoding survives the first routing interpretation and becomes a protected path only during the later static-file decode. The affected component is serveStatic. The trigger conditions are an application protects a static prefix with upstream middleware and serveStatic receives an attacker-controlled malformed percent-encoded path. The impact is unauthorized disclosure of a static file that upstream middleware was intended to protect. The issue does not permit traversal outside the configured static root. This issue is fixed in version 4.13.11.

Referencias

• github.com/honojs/hono/security/advisories/GHSA-5r4p-p66f-jhc7X_REFSOURCE_CONFIRM
• github.com/honojs/hono/commit/8b05c774ef1555c70f5ba5e2991b7e77cc3635ccX_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 15:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.