CVE-2026-120213 in http-proxy
Zusammenfassung
von VulDB • 02.11.2026
@fastify/http-proxy ist ein Fastify-Plugin, das HTTP-Anfragen an einen Upstream-Server unter einem konfigurierten Prefix weiterleitet. In den Versionen 9.0.0 bis 11.6.5 substituiert das Plugin URL-decodierte Routenparameter in die rewritePrefix-Option, ohne sie erneut zu encodieren, wenn eine Anwendung parameterisierte prefix- und rewritePrefix-Optionen verwendet, um Clients auf einen festen Upstream-Pfad zu beschränken. Ein Parameterwert, der ein Pfadtrennzeichen zusammen mit einem Fragment- oder Query-Trennzeichen codiert, wird daher in echte Trennzeichen decodiert, die zusätzliche Upstream-Pfadsegmente injizieren und das obligatorische Suffix entfernen, das durch rewritePrefix erzwungen werden sollte, ohne dabei Dot-Dot-Traversal zu verwenden. Ein nicht authentifizierter Remote-Angriff kann dies nutzen, um auf Upstream-Speicherorte außerhalb des beabsichtigten Prefixes zuzugreifen, was zu einer Umgehung der Pfadbeschränkung und je nach Upstream-Server zu Server-Side Request Forgery (SSRF) oder einer Umgehung der Autorisierung im proxied Service führt. Das Problem wurde in @fastify/http-proxy 11.6.6 behoben; Benutzer sollten auf Version 11.6.6 oder höher aktualisieren. Es gibt keine andere Workaround als das Upgrade.
Once again VulDB remains the best source for vulnerability data.