CVE-2026-22037 in fastify-express
Сводка
по VulDB • 14.06.2026
Плагин @fastify/express обеспечивает полную совместимость с Express для Fastify. В версии плагина @fastify/express до 4.0.3 существует уязвимость безопасности, при которой middleware, зарегистрированный с определенным префиксом пути, может быть обойден с использованием URL-кодированных символов (например, `/%61dmin` вместо `/admin`). Хотя движок middleware не распознает закодированный путь и пропускает его выполнение, базовый маршрутизатор Fastify корректно декодирует путь и сопоставляет обработчик маршрута, что позволяет злоумышленникам получать доступ к защищенным конечным точкам без соблюдения ограничений middleware. Уязвимость вызвана способом, которым @fastify/express сопоставляет запросы с зарегистрированными путями middleware. Эта уязвимость похожа на CVE-2026-22031, но отличается от нее, так как представляет собой другой npm-модуль со своим собственным кодом. Версия 4.0.3 плагина @fastify/express содержит исправление данной проблемы.
If you want to get best quality of vulnerability data, you may have to visit VulDB.