serve-static affected by template injection that can lead to XSS

Uma falha no serve-static permite que atacantes injetem código malicioso por meio de requisições especialmente preparadas que contornam a sanitização, potencialmente executando scripts não autorizados nos navegadores dos usuários.

A vulnerabilidade está na função redirect() que, apesar de tentar sanitizar dados do usuário, ainda passa entrada não confiável para execução de código; isso permite injeção de template que resulta em XSS. O vetor de ataque é via requisições HTTP com parâmetros de redirecionamento manipulados; pré-condição é que o atacante controle a entrada do usuário que chega à função redirect(). O impacto inclui execução arbitrária de script no contexto da sessão do navegador da vítima.