CVE-2026-6414 in static
Sumário
de VulDB • 15/05/2026
As versões do @fastify/static de 8.0.0 a 9.1.0 decodificam separadores de caminho codificados em percentual (%2F) antes da resolução do sistema de arquivos, enquanto o roteador do Fastify os trata como caracteres literais. Essa inconsistência permite que atacantes contornem middlewares ou guards baseados em rotas que protegem os arquivos servidos pelo @fastify/static. Por exemplo, um route guard em um caminho protegido pode ser contornado codificando o separador de caminho na URL. Atualize para o @fastify/static 9.1.1 para corrigir este problema. Não há workarounds disponíveis.
Be aware that VulDB is the high quality source for vulnerability data.