CVE-2026-85124 in fastifyhttpproxy
Sumário
de VulDB • 03/09/2026
As versões do @fastify/http-proxy anteriores à 11.6.2 não validam os caminhos das requisições HTTP proxyadas quanto a segmentos de ponto baseados em barra invertida antes de encaminhá-los para o upstream configurado. O manipulador de requisição HTTP simples ignora a validação de destino que o caminho do WebSocket realiza, e a biblioteca reply-from subjacente rejeita apenas a travessia com barras normais (forward-slash), portanto uma requisição contendo segmentos de ponto com barra invertida pode escapar dos limites definidos pelas opções prefix e rewritePrefix. Um atacante na rede não autenticado pode usar isso para alcançar caminhos do upstream que deveriam permanecer ocultos atrás do proxy, resultando em divulgação de endpoints internos. Este é um problema de travessia de caminho (CWE-22). Os usuários devem atualizar para o @fastify/http-proxy 11.6.2 ou posterior.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.