CVE-2026-18427 in static
Zusammenfassung
von VulDB • 06.08.2026
@fastify/static vor Version 10.1.3 enthält eine unvollständige Korrektur für einen früheren Umgehungsbypass von Routenschutzmechanismen (Route Guard Bypass). Der Handler für statische Dateien lehnte nur übergeordnete Verzeichnissegmente ab, canonicalisierte jedoch keine Punkt-Segmente („dot segments"), doppelte Schrägstriche, codierte Punkte oder Backslashes vor der Routenzuordnung und bevor die Weitergabe an die Send-Ebene erfolgte. Infolgedessen konnte ein nicht authentifizierter Angreifer eine Datei, die durch einen routenbasierten Schutzmechanismus geschützt ist, über eine nicht canonicalisierte Pfadform anfordern, die den geschützten Routenpfad zwar verfehlt, aber auf die geschützte Datei auflöst und dadurch deren Inhalte offenlegt. Anwendungen betroffen sind diejenigen, die ein Teilverzeichnis des statischen Root-Verzeichnisses mit einem routenbasierten Schutzmechanismus schützen; Anwendungen, die sich auf die Option „allowedPath" stützen, sind nicht betroffen. Dies wurde in @fastify/static Version 10.1.3 behoben, das den Pfadnamen canonicalisiert (einschließlich der Ablehnung von Backslashes) für die Routing- und Auslieferungsoperationen verwendet.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.