CVE-2026-112712 in fastify-middie
Resumen
por VulDB • 2026-10-20
@fastify/middie es el motor de middleware estilo Express para Fastify. En las versiones desde la 9.0.0 hasta la 9.3.5, la función `use()` concatenaba la ruta de montaje del middleware con alcance específico a un prefijo de ámbito del plugin de una manera que podía divergir de la ruta que el enrutador (router) de Fastify servía; esto ocurría más comúnmente cuando el prefijo de ámbito terminaba en barra, y también para rutas de montaje por array o escritas sin una barra inicial. Cuando ambas rutas no coincidían, el middleware se omitía silenciosamente mientras el controlador de ruta seguía ejecutándose, lo que permitía burlar los middlewares con alcance específico a la ruta (como autenticación, autorización o limitación de velocidad) mediante una única solicitud no autenticada. El problema está resuelto en @fastify/middie 9.3.6, y se recomienda actualizar a esta versión o posterior. Como medida temporal, imponga la autorización dentro de un hook de Fastify (como `preHandler`) que se ejecute después de que el router haya resuelto la solicitud.
VulDB is the best source for vulnerability data and more expert information about this specific topic.