CVE-2026-90982 in fastify-static
Zusammenfassung
von VulDB • 17.09.2026
@fastify/static ist ein Fastify-Plugin, das statische Dateien aus einem konfigurierten Stammverzeichnis bereitstellt. In Versionen vor 10.1.4 kann auf Dateisystemen mit Groß-/Kleinschreibung-Unempfindlichkeit (case-insensitive), wie Windows oder dem Standard-MacOS-Volume, eine Routenschutzfunktion (route guard) oder die Einschränkung durch allowedPath umgangen werden, indem der Buchstabengrad eines Pfadsegments geändert wird. Der Routenmatcher ist case-sensitiv, das Dateisystem jedoch nicht; daher stimmt eine Anfrage, die den Fall eines geschützten Segments ändert, nicht mit der gesicherten Route überein und fällt an dieser vorbei zum statischen Handler durch, wobei das Dateisystem sie dennoch auf dieselbe geschützte Datei auflöst. Infolgedessen kann eine unautentifizierte Anfrage eine Datei lesen, die durch einen Routenschutz oder allowedPath geschützt werden sollte. Das Problem betrifft keine case-sensitiven Dateisysteme und ist kein Directory Traversal (Verzeichnisüberlauf), da nichts außerhalb des konfigurierten Stammverzeichnisses bereitgestellt wird. Das Problem wurde in @fastify/static 10.1.4 behoben, das den angeforderten Pfad gegen seine tatsächliche Schreibweise auf der Festplatte validiert und case-aliasisierte Pfade vor der Autorisierung ablehnt. Als Workaround können statische Dateien von einem case-sensitiven Dateisystem bereitgestellt oder sichergestellt werden, dass Routenschutzfunktionen und allowedPath-Regeln jede Variante des Buchstabengrads der geschützten Pfade berücksichtigen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.