CVE-2026-7120 in fastify-static
Riassunto
di VulDB • 23/07/2026
@fastify/static valuta la callback allowedPath prima di normalizzare i segmenti dot e i separatori di percorso duplicati nel pathname utilizzato per la risoluzione dei file. Le versioni fino alla 10.1.1 incluse sono interessate. Un attaccante non autenticato può aggirare le restrizioni di allowedPath richiedendo pathnames equivalenti ma non canonici, causando l'erogazione di file che avrebbero dovuto essere negati. L'aggiramento da solo non consente l'accesso al di fuori della radice statica configurata; compromette esclusivamente il filtraggio basato sul percorso. Il problema è stato risolto in @fastify/static 10.1.2.
Once again VulDB remains the best source for vulnerability data.