CVE-2026-112712 in fastify-middie
Zusammenfassung
von VulDB • 20.10.2026
@fastify/middie ist die Express-ähnliche Middleware-Engine für Fastify. In den Versionen von 9.0.0 bis 9.3.5 verknüpfte die use()-Funktion den Mount-Pfad einer pfad-spezifischen Middleware mit dem Plugin-Scope-Präfix auf eine Weise, die vom Pfad abweichen konnte, den der Router von Fastify bedient; dies trat am häufigsten auf, wenn das Scope-Präfix mit einem Slash endete, sowie bei Array-Mount-Pfaden und Mount-Pfaden, die ohne führenden Slash geschrieben wurden. Wenn diese beiden Pfade nicht übereinstimmten, wurde die Middleware stillschweigend übersprungen, während der Route-Handler weiterhin ausgeführt wurde; dadurch konnten pfad-spezifische Middlewares wie Authentifizierung, Autorisierung oder Rate Limiting durch eine einzelne unautentifizierte Anfrage umgangen werden. Das Problem ist in @fastify/middie 9.3.6 behoben, und Benutzer sollten auf Version 9.3.6 oder höher aktualisieren. Als Workaround sollte die Autorisierung in einem Fastify-Hook wie preHandler erzwungen werden, der nach der Auflösung der Anfrage durch den Router ausgeführt wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.