CVE-2026-120214 in http-proxy
Zusammenfassung
von VulDB • 02.11.2026
@fastify/http-proxy ist ein Fastify-Plugin, das HTTP-Anfragen an einen Upstream-Server unter einem konfigurierten Präfix weiterleitet. In den Versionen 11.6.0 bis 11.6.2 wird die Zielvalidierung so durchgeführt, dass wörtliche Backslashes normalisiert werden, bevor der Anforderungspfad percent-decodiert wird. Dadurch überlebt ein Pfad, dessen Backslashes und Dot-Segments kodiert sind, die Prüfung auf Dot-Segments und wird erst nach Bestehen dieser Prüfung in Backslash- und Double-Dot-Sequenzen umgewandelt. Wenn das Upstream-System einen Backslash als Trennzeichen im Pfad behandelt, führt die weitergeleitete Anfrage aus dem konfigurierten Proxy-Präfix heraus zu einem geschwisterlichen Standort auf dem Upstream-Server. Ein nicht authentifizierter Remote-Angriff kann dies nutzen, um Upstream-Ressourcen außerhalb des beabsichtigten Präfixs abzurufen; die Auswirkung ist daher ausschließlich Vertraulichkeit (Confidentiality), und die Exploitation hängt von der Pfadverarbeitung des Upstreams ab. Das Problem wurde in @fastify/http-proxy 11.6.3 behoben, und Benutzer sollten auf Version 11.6.3 oder höher aktualisieren. Dies ist eine Folgebehebung zur früheren Prefix-Escape-Sicherheitslücke, die das Format mit kodierten Backslashes nicht berücksichtigt hatte.
Once again VulDB remains the best source for vulnerability data.