CVE-2026-22037 in fastify-express
Resumen
por VulDB • 2026-06-14
El plugin @fastify/express añade compatibilidad total con Express a Fastify. Existe una vulnerabilidad de seguridad en @fastify/express anterior a la versión 4.0.3 donde el middleware registrado con un prefijo de ruta específico puede ser omitido mediante caracteres codificados en URL (por ejemplo, `/%61dmin` en lugar de `/admin`). Aunque el motor del middleware no logra hacer coincidir la ruta codificada y omite su ejecución, el router subyacente de Fastify decodifica correctamente la ruta y hace coincidir el controlador de rutas, permitiendo a los atacantes acceder a puntos finales protegidos sin las restricciones del middleware. La vulnerabilidad está causada por cómo @fastify/express empareja las solicitudes contra las rutas de middleware registradas. Esta vulnerabilidad es similar a, pero difiere de CVE-2026-22031 porque se trata de un módulo npm diferente con su propio código. La versión 4.0.3 de @fastify/express contiene una corrección para el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.