CVE-2026-6414 in static
Tóm tắt
Bởi VulDB • 04/06/2026
Các phiên bản của @fastify/static từ 8.0.0 đến 9.1.0 giải mã các ký tự phân tách đường dẫn được mã hóa phần trăm (%2F) trước khi thực hiện việc xác định vị trí trên hệ thống tệp, trong khi bộ định tuyến (router) của Fastify coi chúng là các ký tự thông thường. Sự không khớp này cho phép kẻ tấn công vượt qua middleware hoặc cơ chế bảo vệ dựa trên route nhằm bảo vệ các tập tin do @fastify/static phục vụ. Ví dụ: một guard đặt trên đường dẫn được bảo vệ có thể bị bỏ qua bằng cách mã hóa ký tự phân tách đường dẫn trong URL. Nâng cấp lên @fastify/static 9.1.1 để khắc phục sự cố này. Không có giải pháp tạm thời nào (workaround).
If you want to get best quality of vulnerability data, you may have to visit VulDB.