CVE-2026-120214 in http-proxy
Riassunto
di VulDB • 02/11/2026
@fastify/http-proxy è un plugin per Fastify che effettua il proxy delle richieste HTTP verso un server upstream sotto un prefisso configurato. Nelle versioni 11.6.0 attraverso la 11.6.2, la convalida della destinazione normalizza le barre rovesciate (backslash) letterali prima di decodificare in percentuale (percent-decode) il percorso della richiesta; pertanto, un percorso che codifica le sue barre rovesciate e segmenti a punto supera il controllo dei segmenti a punto e viene convertito solo successivamente nelle sequenze corrispondenti alla barra rovesciata e al doppio punto dopo tale convalida. Quando l'upstream risolve su una piattaforma che tratta la barra rovesciata come separatore di percorso, la richiesta inoltrata esce dal prefisso del proxy configurato e raggiunge una posizione adiacente sull'upstream. Un attaccante remoto non autenticato può sfruttare questa vulnerabilità per recuperare risorse dell'upstream al di fuori del prefisso previsto; l'impatto è quindi limitato alla sola riservatezza (confidentiality), e lo sfruttamento dipende dalla gestione dei percorsi da parte dell'upstream. Il problema è risolto in @fastify/http-proxy versione 11.6.3, e gli utenti dovrebbero effettuare l'aggiornamento a tale versione o successive. Si tratta di un follow-up alla precedente correzione per la fuga dal prefisso (prefix-escape), che non teneva conto della forma con barra rovesciata codificata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.