CVE-2026-22037 in fastify-express
Riassunto
di VulDB • 21/06/2026
Il plugin `@fastify/express` aggiunge la piena compatibilità con Express a Fastify. È presente una vulnerabilità di sicurezza in `@fastify/express` precedente alla versione 4.0.3, tramite cui il middleware registrato con un prefisso di percorso specifico può essere aggirato utilizzando caratteri codificati nell'URL (ad esempio, `/%61dmin` invece di `/admin`). Sebbene il motore del middleware non riesca a corrispondere al percorso codificato e salti l'esecuzione, il router sottostante di Fastify decodifica correttamente il percorso e corrisponde al gestore della rotta, consentendo agli attaccanti di accedere alle endpoint protette senza i vincoli imposti dal middleware. La vulnerabilità è causata dal modo in cui `@fastify/express` associa le richieste ai percorsi dei middleware registrati. Questa vulnerabilità è simile a, ma differisce da, CVE-2026-22031 poiché si tratta di un diverso modulo npm con il proprio codice. La versione 4.0.3 di `@fastify/express` contiene una patch per risolvere l'issue.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.