CVE-2026-85124 in fastifyhttpproxy
要約
〜によって VulDB • 2026年09月03日
@fastify/http-proxy のバージョン 11.6.2 より前のバージョンでは、構成されたアップストリームに転送する前に、プロキシ対象の HTTP リクエストパス内のバックスラッシュベースのドットセグメントが検証されません。プレーンな HTTP リクエストハンドラーは WebSocket パスが行う宛先検証をスキップし、基盤となる reply-from ライブラリはフォワードスラッシュによるトラバーサルのみを拒否するため、バックスラッシュのドットセグメントを含むリクエストにより、prefix および rewritePrefix オプションによって設定された境界から脱出し、内部のエンドポイントへのアクセスや情報の漏洩を引き起こす可能性があります。これはパストラバーサルの脆弱性（CWE-22）です。ユーザーは @fastify/http-proxy 11.6.2 以降にアップグレードする必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.