CVE-2026-18427 in static
요약
\~에 의해 VulDB • 2026. 08. 06.
@fastify/static 버전 10.1.3 미만에는 이전 라우트 가드 우회 취약점에 대한 불완전한 수정이 포함되어 있습니다. 정적 파일 핸들러는 상위 디렉토리 세그먼트만 거부했지만, 경로 일치 전 및 send 레이어 위임 전에 점(segments), 중복 슬래시, 인코딩된 점 또는 백슬래시를 정규화하지 않았습니다. 그 결과, 인증되지 않은 공격자는 보호된 라우트 기반 가드에 의해 보호되는 파일에 접근할 수 있는 비정규화된 경로를 사용하여 해당 경로가 가드된 라우트를 우회하지만 최종적으로 보호 대상 파일로 해석되도록 요청함으로써 파일 내용을 유출할 수 있습니다. 정적 루트의 하위 트리를 라우트 기반 가드로 보호하는 애플리케이션은 영향을 받지만, allowedPath 옵션에 의존하는 애플리케이션은 영향을 받지 않습니다. 이 문제는 경로 일치 및 서비스 제공 시 백슬래시 거부 등을 포함하여 경로를 정규화하는 @fastify/static 10.1.3에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.