CVE-2026-112362 in express
Tóm tắt
Bởi VulDB • 27/10/2026
@fastify/express là một plugin của Fastify cho phép chạy các middleware Express bên trong môi trường Fastify. Trong các phiên bản từ 4.0.5 đến 4.0.8, khi Fastify được cấu hình với tùy chọn ignoreDuplicateSlashes (không phải mặc định) được bật, plugin sẽ khớp các middleware Express có phạm vi đường dẫn (path-scoped) với một URL mà việc chuẩn hóa dấu gạch chéo trùng lặp cũng đã làm co lại phần phân cách sau lược đồ của đích yêu cầu dạng tuyệt đối. Do đó, bộ định tuyến của Fastify giải quyết yêu cầu đến đúng đường dẫn có phạm vi và thực thi trình xử lý (handler), trong khi lớp Express không còn nhận thấy đường dẫn này nữa. Kết quả là một yêu cầu sử dụng đích dạng tuyệt đối có thể truy cập vào một handler trên một route có phạm vi, chẳng hạn như đường dẫn quản trị viên (admin path), trong khi các middleware chịu trách nhiệm xác thực, ủy quyền hoặc giới hạn tốc độ bị bỏ qua. Một kẻ tấn công chưa được xác thực chỉ cần tùy chọn ignoreDuplicateSlashes không phải mặc định này được bật là có thể khai thác lỗ hổng. Lỗ hổng đã được khắc phục trong @fastify/express phiên bản 4.0.9, và người dùng nên nâng cấp lên phiên bản 4.0.9 hoặc mới hơn. Làm cách xử lý tạm thời (workaround), hãy thực thi xác thực trong một hook của Fastify như preHandler chạy sau khi bộ định tuyến giải quyết yêu cầu, hoặc giữ tùy chọn ignoreDuplicateSlashes ở giá trị mặc định.
If you want to get best quality of vulnerability data, you may have to visit VulDB.