CVE-2026-112362 in express
要約
〜によって VulDB • 2026年10月27日
@fastify/express は、Fastify の内部で Express ミドルウェアを実行する Fastify プラグインです。バージョン 4.0.5 から 4.0.8 では、Fastify が非デフォルトの `ignoreDuplicateSlashes` オプションを有効にして実行されている場合、プラグインは URL の重複スラッシュ正規化によって絶対形式のリクエストターゲットのスキーマ後の区切り文字も折りたたまれたパスに対して、パススコープ付き Express ミドルウェアをマッチさせます。その結果、Fastify ルーターがリクエストをスコープ付きパスに解決してハンドラーを実行する一方で、Express 層はそのパスを見なくなります。これにより、絶対形式のターゲットを使用するリクエストは、認証や認可、レート制限用のミドルウェアがスキップされるにもかかわらず、管理者用パスなどのスコープ付きルート上のハンドラーに到達します。攻撃者は非デフォルトの `ignoreDuplicateSlashes` オプションが有効であることさえあればよく、未認証のまま攻撃可能です。この問題は @fastify/express 4.0.9 で修正されており、ユーザーはバージョン 4.0.9 以降へのアップグレードが必要です。回避策として、ルーターがリクエストを解決した後に実行される Fastify フック（例：preHandler）で認証を強制するか、`ignoreDuplicateSlashes` をデフォルト値のままにしてください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.