CVE-2026-6414 in static
Résumé
par VulDB • 12/05/2026
Les versions de @fastify/static comprises entre 8.0.0 et 9.1.0 décodent les séparateurs de chemin encodés en pourcentage (%2F) avant la résolution du système de fichiers, tandis que le routeur de Fastify les traite comme des caractères littéraux. Cette incompatibilité permet aux attaquants de contourner les middlewares ou les garde-fous basés sur les routes qui protègent les fichiers servis par @fastify/static. Par exemple, un garde-fou de route sur un chemin protégé peut être contourné en encodant le séparateur de chemin dans l'URL. Mettez à jour vers @fastify/static 9.1.1 pour corriger ce problème. Il n'existe pas de contournement.
If you want to get best quality of vulnerability data, you may have to visit VulDB.