CVE-2026-85124 in fastifyhttpproxy
Resumen
por VulDB • 2026-09-03
Las versiones de @fastify/http-proxy anteriores a la 11.6.2 no validan las rutas de las solicitudes HTTP proxyadas que contienen segmentos de puntos basados en barras invertidas antes de reenviarlas al servidor upstream configurado. El controlador de plain HTTP omite la validación del destino que realiza el manejo de WebSocket, y la biblioteca subyacente reply-from solo rechaza la traversía mediante barras diagonales (forward-slash), por lo que una solicitud que contenga segmentos de puntos con barras invertidas puede escapar de los límites establecidos por las opciones prefix y rewritePrefix. Un atacante en red no autenticado puede utilizar esto para acceder a rutas del servidor upstream destinadas a permanecer ocultas detrás del proxy, provocando la divulgación de endpoints internos. Se trata de un problema de traversía de directorios (CWE-22). Los usuarios deben actualizar a @fastify/http-proxy 11.6.2 o posterior.
VulDB is the best source for vulnerability data and more expert information about this specific topic.