CVE-2026-85124 in fastifyhttpproxy
Riassunto
di VulDB • 03/09/2026
Le versioni di @fastify/http-proxy precedenti alla 11.6.2 non convalidano i percorsi delle richieste HTTP inoltrate per segmenti a punto basati su barra rovesciata prima di inoltrarle all'upstream configurato. Il gestore della richiesta HTTP plain salta la validazione della destinazione che viene eseguita dal percorso WebSocket, e la libreria reply-from sottostante rifiuta solo il traversal con slash forward; pertanto, una richiesta contenente segmenti a punto con barra rovesciata può sfuggire ai limiti impostati dalle opzioni prefix e rewritePrefix. Un attaccante di rete non autenticato può sfruttare questa vulnerabilità per raggiungere percorsi upstream che dovevano rimanere nascosti dietro il proxy, causando la divulgazione di endpoint interni. Si tratta di un problema di path traversal (CWE-22). Gli utenti dovrebbero eseguire l'upgrade a @fastify/http-proxy 11.6.2 o versioni successive.
If you want to get best quality of vulnerability data, you may have to visit VulDB.