Hono: `serveStatic` decodifica la ruta de la solicitud por segunda vez, permitiendo la omisión de middleware en rutas estáticas

Resumen

serveStatic decodifica la ruta de la solicitud por segunda vez después de que Hono ya la haya decodificado para el enrutamiento. Una solicitud manipulada puede ser enrutada como una ruta y servida como otra distinta, provocando que el middleware montado en un prefijo estático no se ejecute para un archivo bajo dicho prefijo.

Detalles

Hono decodifica la ruta de la solicitud una vez antes del enrutamiento. serveStatic la decodificaba de nuevo antes de resolver el archivo. Con una secuencia con codificación porcentual malformada, la primera decodificación deja parte de la ruta codificada, el enrutador coincide con la forma codificada y la segunda decodificación resuelve el directorio real. El archivo continúa resolviéndose dentro de la raíz configurada; no se trata de un salto de directorio fuera de ella.

Impacto

Un atacante no autenticado podría acceder a archivos estáticos sin que se ejecute el middleware configurado en su prefijo, como por ejemplo un control de autenticación. Esto afecta a las aplicaciones que montan middleware en una parte del directorio servido por serveStatic. Las aplicaciones que únicamente sirven archivos públicos no se ven afectadas.