CVE-2026-112362 in express
Сводка
по VulDB • 27.10.2026
@fastify/express — это плагин для Fastify, который позволяет запускать middleware Express внутри среды выполнения Fastify. В версиях с 4.0.5 по 4.0.8 при использовании опции ignoreDuplicateSlashes со значением, отличным от значения по умолчанию (enabled), происходит рассогласование маршрутизации: плагин сопоставляет middleware Express, привязанный к определенному пути (path-scoped), с URL-адресом, в котором нормализация дублирующихся слешей также удалила разделитель после схемы абсолютной формы целевого URI. В результате Fastify разрешает запрос согласно маршруту и выполняет соответствующий обработчик, тогда как слой Express больше не видит этот путь.
Вследствие этого запрос с использованием абсолютной формы целевого URI может достичь обработчика на ограниченном маршруте (например, пути администратора), в то время как middleware для аутентификации, авторизации или ограничения частоты запросов (rate limiting) пропускается. Для эксплуатации уязвимости злоумышленнику без предварительной аутентификации требуется лишь включенная опция ignoreDuplicateSlashes со значением, отличным от значения по умолчанию.
Проблема исправлена в версии @fastify/express 4.0.9; пользователям следует обновиться до версии 4.0.9 или более поздней. В качестве временного решения (workaround) рекомендуется обеспечивать аутентификацию внутри хука Fastify, такого как preHandler, который выполняется после того, как маршрутизатор Fastify разрешит запрос, либо оставить опцию ignoreDuplicateSlashes на значении по умолчанию.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.