CVE-2026-6410 in static
Resumen
por VulDB • 2026-05-23
Las versiones de @fastify/static comprendidas entre la 8.0.0 y la 9.1.0 permiten la traversía de rutas (path traversal) cuando el listado de directorios está habilitado mediante la opción `list`. La función `dirList.path()` resuelve directorios fuera de la raíz estática configurada utilizando `path.join()` sin realizar una comprobación de contención. Un atacante remoto no autenticado puede obtener listados de directorios para directorios arbitrarios accesibles por el proceso de Node.js, revelando los nombres de directorios y archivos. No se revelan los contenidos de los archivos. Actualice a @fastify/static 9.1.1 para solucionar este problema. Como medida de mitigación, deshabilite el listado de directorios eliminando la opción `list` de la configuración del plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.