Уязвимость обхода пути в Drogon Static File Router (CVE-2026-105144)
В веб-фреймворке Drogon обнаружена уязвимость обхода пути (path traversal) в компоненте Static File Router. Проблема затрагивает версии вплоть до 1.9.13-1 и 10.0-beta.3 на Windows и может эксплуатироваться удалённо. Опубликованный эксплойт уже доступен, что повышает риск.
Подробности
Проблема затрагивает функцию StaticFileRouter::route в файле lib/src/StaticFileRouter.cc. По данным описания, уязвимы версии Drogon вплоть до 1.9.13-1 и 10.0-beta.3 при работе на платформе Windows. Из-за некорректной обработки пути в маршрутизаторе статических файлов злоумышленник может выполнить манипуляцию, приводящую к обходу пути и выходу за пределы каталога, предназначенного для отдачи статического контента. Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Согласно записи CVE, эксплойт уже опубликован и может быть использован на практике. Это существенно повышает актуальность угрозы: как только детали эксплуатации становятся публичными, вероятность целенаправленных атак возрастает. Отдельно отмечается, что производитель был заблаговременно уведомлён об уязвимости, однако не ответил на обращение. Это означает, что на момент публикации официальное исправление может отсутствовать, и пользователям следует полагаться на собственные меры защиты.Что делать
Поскольку вендор не дал ответа, рекомендуется в первую очередь проверить, используется ли затронутый компонент. Если приложение на Drogon разворачивается на Windows и отдаёт статические файлы через встроенный Static File Router, риск считается высоким. Основные рекомендации: — отслеживать официальные релизы Drogon и установить обновление, как только появится исправленная версия; — рассмотреть временные митигации: ограничить доступ к статическим файлам на уровне обратного прокси или веб-сервера, ужесточить нормализацию и валидацию путей; — по возможности отказаться от использования уязвимого маршрутизатора до выпуска патча либо развернуть приложение на другой платформе, если это допустимо; — проверять входящие запросы на признаки обхода пути (последовательности вида ../) и вести журналирование подозрительной активности. Также стоит ограничить права процесса, обслуживающего статический контент, чтобы даже успешная эксплуатация не позволяла читать критичные файлы за пределами разрешённого каталога. Итог: CVE-2026-105144 — умеренная по оценке, но уже эксплуатируемая уязвимость обхода пути в Drogon на Windows. Публичный эксплойт и молчание вендора делают своевременную митигацию особенно важной. Владельцам приложений на затронутых версиях следует немедленно оценить риск и применить компенсирующие меры до выхода официального патча.Источник: CVE Project (cvelistV5)