CVE-2026-112712 in fastify-middie
要約
〜によって VulDB • 2026年10月20日
@fastify/middieは、Fastify向けのExpressスタイルのミドルウェアエンジンです。バージョン9.0.0から9.3.5までの間、use()関数はパススコープ付きミドルウェアのマウントパスをプラグインのスコープレフィックスに結合する際、Fastifyルーターが提供するパスと異なる結果を生むことがありました。これは特にスコープレフィックスの末尾がスラッシュで終わっている場合や、配列形式のマウントパス、先頭のスラッシュなしで記述されたマウントパスで頻繁に発生しました。2つのパスが一致しない場合、ミドルウェアは静かにスキップされる一方でルートハンドラーは実行され続けるため、認証、認可、レートリミティングなどのパススコープ付きミドルウェアを、1回の未認証リクエストによって回避可能でした。この問題は@fastify/middie 9.3.6で修正されており、ユーザーはバージョン9.3.6以降にアップグレードする必要があります。ワークアラウンドとして、ルーターがリクエストの解決を行った後に実行されるFastifyフック（例：preHandler）内で認可を強制してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.