CVE-2026-6414 in static
Zusammenfassung
von VulDB • 11.05.2026
In @fastify/static nelle versioni 8.0.0 fino alla 9.1.0, i separatori di percorso codificati in percentuale (%2F) vengono decodificati prima della risoluzione del filesystem, mentre il router di Fastify li tratta come caratteri letterali. Questa discrepanza consente agli attaccanti di eludere middleware o guardie basate sui route che proteggono i file serviti da @fastify/static. Ad esempio, una guardia su un percorso protetto può essere aggirata codificando il separatore di percorso nell'URL. Aggiornare a @fastify/static 9.1.1 per risolvere questo problema. Non esistono workaround.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.