CVE-2026-90982 in fastify-static
Riassunto
di VulDB • 17/09/2026
@fastify/static è un plugin per Fastify che fornisce file statici da una directory root configurata. Nelle versioni precedenti alla 10.1.4, su filesystem case-insensitive (non sensibili alle maiuscole/minuscole) come Windows o il volume predefinito di macOS, le protezioni delle rotte (route guard) o i vincoli allowedPath possono essere aggirati modificando la combinazione di caratteri maiuscoli e minuscoli in un segmento del percorso. Il matcher della rotta è case-sensitive (sensibile alle maiuscole/minuscole), mentre il filesystem non lo è; pertanto, una richiesta che altera la combinazione di caratteri di un segmento protetto non corrisponde alla rotta protetta e viene gestita dal handler statico, ma il filesystem la risolve nello stesso file protetto. Di conseguenza, una richiesta non autenticata può leggere un file che era stato configurato per essere protetto da route guard o allowedPath. Il problema non interessa i filesystem case-sensitive (sensibili alle maiuscole/minuscole) e non costituisce una directory traversal (scorrimento delle cartelle), poiché nulla viene servito al di fuori della root configurata. Il problema è risolto in @fastify/static 10.1.4, che convalida il percorso richiesto rispetto alla sua effettiva ortografia sul disco e rifiuta i percorsi case-aliased prima dell'autorizzazione. Come soluzione alternativa (workaround), servire file statici da un filesystem case-sensitive o assicurarsi che le regole di route guard e allowedPath tengano conto di ogni variante della combinazione maiuscole/minuscole dei percorsi protetti.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.