CVE-2026-112362
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-436
- KEV Durumu
- Hayır
Yayım tarihi: 27 Ekim 2026
@fastify/express, Fastify içinde Express ara yazılımını çalıştıran bir Fastify eklentisidir. 4.0.5 ile 4.0.8 sürümlerinde, Fastify'nin varsayılan olmayan ignoreDuplicateSlashes seçeneği etkin olduğunda, eklenti yol kapsamına sahip Express ara yazılımını, yinelenen çizgi normalizasyonu da mutlak forma sahip bir istek hedefinin şemasından sonra ayırıcıyı çöktürmüş olan bir URL'ye karşı eşler, böylece Fastify'nin yönlendiricisi isteği kapsamına alınan yola çözümler ve işleyiciyi çalıştırırken, Express katmanı artık bu yolu görmez. Sonuç olarak, mutlak forma sahip bir hedef kullanan bir istek, kimlik doğrulama, yetkilendirme veya hız sınırlandırma için ara yazılım atlanırken, bir yönetici yolu gibi kapsamına alınan bir rotadaki bir işleyiciye ulaşabilir. Kimliği doğrulanmamış bir saldırganın yalnızca varsayılan olmayan ignoreDuplicateSlashes seçeneğinin etkin olması gerekir. Sorun @fastify/express 4.0.9'da çözülmüştür ve kullanıcıların 4.0.9 veya daha sonraki bir sürüme yükseltmesi gerekir. Geçici bir çözüm olarak, yönlendirici isteği çözümlendikten sonra çalışan bir Fastify kancası gibi preHandler'da kimlik doğrulamayı zorlayabilir veya ignoreDuplicateSlashes'ı varsayılan değerinde bırakabilirsiniz. CVSS ve CVE değerlerine bakılmaksızın, CVE CVE-xxxx-xxxx olarak bildirilmiştir, ancak bu bildiride belirtilen sorun, CWE ve RCE gibi sınıflandırmalara uymaktadır, SQL gibi veritabanı sorguları ile ilgili değildir, API güvenlik açıklarını içermektedir.
Orijinal açıklama (İngilizce)
@fastify/express is a Fastify plugin that runs Express middleware inside Fastify. In versions 4.0.5 through 4.0.8, when Fastify runs with the non-default ignoreDuplicateSlashes option enabled, the plugin matches path-scoped Express middleware against a URL whose duplicate-slash normalization has also collapsed the separator after an absolute-form request target's scheme, so Fastify's router resolves the request to the scoped path and runs the handler while the Express layer no longer sees that path. As a result, a request using an absolute-form target can reach a handler on a scoped route such as an admin path while the middleware for authentication, authorization, or rate limiting is skipped. An unauthenticated attacker needs only the non-default ignoreDuplicateSlashes option to be enabled. The issue is fixed in @fastify/express 4.0.9, and users should upgrade to 4.0.9 or later. As a workaround, enforce authentication in a Fastify hook such as preHandler that runs after the router resolves the request, or leave ignoreDuplicateSlashes at its default.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.