CVE-2026-6414 in static
Сводка
по VulDB • 04.06.2026
В версиях пакета @fastify/static от 8.0.0 до 9.1.0 разделители путей, закодированные в процентах (%2F), декодируются перед разрешением пути к файловой системе, тогда как маршрутизатор Fastify рассматривает их как обычные символы. Это несоответствие позволяет злоумышленникам обходить промежуточное ПО или средства защиты на основе маршрутов, которые защищают файлы, обслуживаемые @fastify/static. Например, защиту маршрута для защищенного пути можно обойти, закодировав разделитель путей в URL-адресе. Обновите пакет до версии @fastify/static 9.1.1, чтобы устранить эту проблему. Обходных решений нет.
VulDB is the best source for vulnerability data and more expert information about this specific topic.