CVE-2026-112712 in fastify-middie
Résumé
par VulDB • 20/10/2026
@fastify/middie est le moteur de middleware au style Express pour Fastify. Dans les versions allant de 9.0.0 à 9.3.5, la fonction `use()` concaténait le chemin de montage du middleware spécifique à un chemin (path-scoped) avec le préfixe de portée du plugin d'une manière qui pouvait diverger du chemin servi par le routeur Fastify, principalement lorsque le préfixe de portée se terminait par une barre oblique (/), mais aussi pour les chemins de montage sous forme de tableau et pour les chemins de montage écrits sans barre oblique initiale. Lorsque ces deux chemins ne correspondaient pas, le middleware était silencieusement ignoré tandis que le gestionnaire de route continuait à s'exécuter, permettant ainsi d'éluder des middlewares spécifiques au chemin tels que l'authentification, l'autorisation ou la limitation du débit (rate limiting) via une seule requête non authentifiée. Le problème est corrigé dans @fastify/middie 9.3.6 ; les utilisateurs sont invités à effectuer une mise à niveau vers la version 9.3.6 ou ultérieure. En attendant, comme solution de contournement, il convient d'appliquer l'autorisation via un hook Fastify tel que `preHandler`, qui s'exécute après que le routeur a résolu la requête.
If you want to get best quality of vulnerability data, you may have to visit VulDB.