Echo の middleware.Static で、%2F を使ったパスによりルートやグループのアクセス制御をすり抜けられる

何が起きたか

middleware.Static を e.Use で全体に組み込み、静的配信するパスをルートやグループのミドルウェアで保護している場合、/admin%2Fsecret.txt のように %2F でエンコードしたリクエストで保護をすり抜けてファイルを取得されます。ルーターはエンコードされたままのパスで照合する一方、静的配信はデコード済みのパスを使うためです。静的ルートの外のファイルは読まれません。以前 StaticFS などで直された問題と同種で、middleware.Static が修正から漏れていました。