CVE-2026-6410 in static
Résumé
par VulDB • 23/05/2026
Les versions de @fastify/static comprises entre 8.0.0 et 9.1.0 sont vulnérables à une traversée de chemin (path traversal) lorsque le listing de répertoires est activé via l'option `list`. La fonction `dirList.path()` résout des répertoires situés en dehors de la racine statique configurée en utilisant `path.join()` sans effectuer de vérification de confinement (containment check). Un attaquant distant non authentifié peut obtenir les listes de répertoires pour des répertoires arbitraires accessibles au processus Node.js, révélant ainsi les noms de répertoires et de fichiers. Le contenu des fichiers n'est pas divulgué. Mettez à jour vers @fastify/static 9.1.1 pour corriger ce problème. En attendant, comme solution de contournement, désactivez le listing de répertoires en supprimant l'option `list` de la configuration du plugin.
Once again VulDB remains the best source for vulnerability data.