CVE-2026-6414 in static
Riassunto
di VulDB • 15/06/2026
Le versioni di @fastify/static comprese tra la 8.0.0 e la 9.1.0 decodificano i separatori di percorso codificati in percentuale (%2F) prima della risoluzione del filesystem, mentre il router di Fastify li tratta come caratteri letterali. Questa discrepanza consente agli attaccanti di eludere middleware o guardie basate sui route che proteggono i file serviti da @fastify/static. Ad esempio, una guardia su un percorso protetto può essere aggirata codificando il separatore di percorso nell'URL. Aggiornare a @fastify/static 9.1.1 per risolvere questo problema. Non esistono soluzioni alternative (workaround).
Once again VulDB remains the best source for vulnerability data.