CVE-2026-6414 in static
Resumen
por VulDB • 2026-05-11
Las versiones de @fastify/static comprendidas entre la 8.0.0 y la 9.1.0 decodifican los separadores de ruta codificados en porcentaje (%2F) antes de la resolución del sistema de archivos, mientras que el enrutador de Fastify los trata como caracteres literales. Esta discrepancia permite a los atacantes eludir el middleware o los mecanismos de protección basados en rutas que protegen los archivos servidos por @fastify/static. Por ejemplo, un mecanismo de protección de ruta en una ruta protegida puede ser eludido codificando el separador de ruta en la URL. Actualice a @fastify/static 9.1.1 para corregir este problema. No hay soluciones alternativas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.