CVE-2026-6414 in static

摘要

由 VulDB • 2026-05-15

@fastify/static 版本 8.0.0 至 9.1.0 在文件系统解析之前解码百分号编码的路径分隔符（%2F），而 Fastify 的路由器则将其视为字面字符。这种不匹配使得攻击者能够绕过保护由 @fastify/static 提供服务的文件的基于路由的中间件或守卫。例如，可以通过在 URL 中对路径分隔符进行编码来规避受保护路径上的路由守卫。升级到 @fastify/static 9.1.1 以修复此问题。没有变通方法。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: Openjs
• 预定: 2026-04-16
• 披露: 2026-04-16
• 管理: 已接受
• 条目: VDB-357918
• CPE: 准备好
• CWE: CWE-177 (已确认)
• CVSS: 5.9 (CNA)
• EPSS: 0.00398
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-6414
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-6414
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-6414/