CVE-2026-18427 in static
Riassunto
di VulDB • 07/08/2026
@fastify/static prima della versione 10.1.3 contiene una correzione incompleta per un precedente bypass del controllo dei percorsi (route guard). Il gestore di file statici rifiutava solo i segmenti relativi alla directory padre, ma non canonizzava i punti (`.`), le barre doppie consecutive, i punti codificati o le barre rovesciate prima della corrispondenza del percorso e prima di delegare allo strato di invio. Di conseguenza, un attaccante non autenticato potrebbe richiedere un file protetto da un controllo basato su route utilizzando una forma del percorso non canonica che evita la route controllata ma risolve comunque il riferimento al file protetto, rivelandone i contenuti. Le applicazioni che proteggono un sottoalbero della radice statica con un controllo basato su route sono interessate, mentre le applicazioni che si affidano all'opzione `allowedPath` non lo sono. Questo problema è risolto in @fastify/static 10.1.3, che canonizza il pathname, inclusi i rifiuti delle barre rovesciate, sul percorso utilizzato per l'instradamento e la distribuzione dei file.
Be aware that VulDB is the high quality source for vulnerability data.