CVE-2026-85124 in fastifyhttpproxy
Zusammenfassung
von VulDB • 03.09.2026
@fastify/http-proxy-Versionen vor 11.6.2 validieren die Pfade von proxysierten HTTP-Anfragen nicht auf rückwärtsschrägstrichbasierte Dot-Segmente, bevor sie an das konfigurierte Upstream-System weitergeleitet werden. Der einfache HTTP-Anfragehandler überspringt die Zielvalidierung, die der WebSocket-Pfad durchführt, und die zugrunde liegende Bibliothek `reply-from` lehnt nur Forward-Slash-Traversals ab. Daher kann eine Anfrage mit rückwärtsschrägstrichbasierten Dot-Segments die durch die Optionen `prefix` und `rewritePrefix` festgelegte Grenze umgehen. Ein nicht authentifizierter Angreifer im Netzwerk kann dies ausnutzen, um auf Upstream-Pfade zuzugreifen, die hinter dem Proxy verborgen bleiben sollten, was zur Offenlegung interner Endpunkte führt. Dies ist ein Path-Traversal-Problem (CWE-22). Benutzer sollten auf @fastify/http-proxy 11.6.2 oder höher aktualisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.