Climba03003

**Name of the Vulnerable Software and Affected Versions** @fastify/middie versões anteriores a 9.3.2 **Description** Existe um bypass de middleware quando a opção obsoleta `ignoreDuplicateSlashes` está habilitada. A lógica de correspondência de caminho do middleware não considera a normalização de barras duplicadas realizada pelo roteador, permitindo que requisições com barras iniciais duplicadas (ex: '//admin/secret') ignorem verificações de autenticação e autorização. Este problema afeta especificamente aplicações que utilizam o estilo de configuração de nível superior obsoleto `fastify({ ignoreDuplicateSlashes: true })` em vez da configuração `routerOptions`. **Recommendations** Atualize para a versão 9.3.2 do @fastify/middie. Como alternativa temporária, migre a configuração obsoleta de nível superior `ignoreDuplicateSlashes: true` para `routerOptions: { ignoreDuplicateSlashes: true }` ou desabilite a opção `ignoreDuplicateSlashes`.

**Name of the Vulnerable Software and Affected Versions** @fastify/static versões 8.0.0 até 9.1.0 **Description** O @fastify/static decodifica separadores de caminho codificados em percentual ('%2F') antes da resolução do sistema de arquivos, enquanto o roteador do Fastify os trata como caracteres literais. Essa discrepância permite uma incompatibilidade de roteamento onde guards de rota ou middlewares que protegem caminhos específicos podem ser ignorados. Por exemplo, um guard protegendo '/admin/*' não corresponderá a uma solicitação para '/admin%2Fsecret.html', mas o software decodificará a solicitação e servirá o arquivo de '/admin/secret.html'. **Recommendations** Atualize para a versão 9.1.1 do @fastify/static.

**Name of the Vulnerable Software and Affected Versions** @fastify/middie versões anteriores a 9.3.2 **Description** O middleware herdado não é registrado diretamente em instâncias do mecanismo de plugins filhos. Quando um middleware de autenticação é registrado em um escopo pai e plugins filhos são registrados com @fastify/middie, o escopo filho não herda o middleware do pai. Isso ocorre porque os caminhos do middleware são prefixados incorretamente ao serem propagados para escopos de plugins filhos; se um plugin filho for registrado com um prefixo que se sobrepõe ao caminho do middleware do escopo pai, o caminho é modificado e não corresponde às solicitações recebidas. Consequentemente, controles de segurança como autenticação, autorização e limitação de taxa são ignorados para todas as rotas definidas nos escopos de plugins filhos e netos afetados, permitindo que solicitações não autenticadas alcancem essas rotas. **Recommendations** Atualize para a versão 9.3.2 do @fastify/middie.

**Name of the Vulnerable Software and Affected Versions** @fastify/static versões 8.0.0 até 9.1.0 **Description** Ocorre traversal de caminho quando a listagem de diretórios está habilitada através da opção `list`. A função `dirList.path()` resolve diretórios fora da raiz estática configurada usando `path.join()` sem uma verificação de contenção. Um atacante remoto não autenticado pode obter listagens de diretórios para diretórios arbitrários acessíveis ao processo Node.js, expondo nomes de diretórios e arquivos, embora o conteúdo dos arquivos não seja revelado. **Recommendations** Atualize para a versão 9.1.1. Como alternativa temporária, desabilite a listagem de diretórios removendo a opção `list` da configuração do plugin.

**Name of the Vulnerable Software and Affected Versions** fastify versões 5.3.2 até 5.8.4 **Description** Aplicações que utilizam `schema.body.content` para validação de corpo por tipo de conteúdo estão sujeitas a um bypass de validação. Ao prefixar um espaço ao cabeçalho Content-Type, o corpo ainda é analisado corretamente, mas a validação do esquema é totalmente ignorada. **Recommendations** Atualize para a versão 5.8.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** @fastify/express versões anteriores a 4.0.5 **Description** Um erro de manipulação de caminho na função `onRegister()` faz com que os caminhos do middleware sejam duplicados quando herdados por plugins filhos. Quando um plugin filho é registrado com um prefixo que corresponde a um caminho de middleware, o caminho é prefixado uma segunda vez, impedindo que ele corresponda às requisições recebidas. Isso resulta em um bypass completo dos controles de segurança do middleware Express, incluindo autenticação, autorização e limitação de taxa, para todas as rotas definidas nos escopos dos plugins filhos afetados. **Recommendations** Atualize para a versão 4.0.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** @fastify/express versões anteriores a 4.0.5 **Description** Existe um problema onde o software falha ao normalizar URLs antes de passá-las para o middleware do Express quando as opções de normalização do roteador Fastify estão habilitadas. Isso permite que um invasor não autenticado ignore o middleware de autenticação com escopo de caminho manipulando o caminho da URL. Especificamente, a evasão ocorre por meio de barras duplicadas quando `ignoreDuplicateSlashes` está habilitado, ou por meio de delimitadores de ponto e vírgula quando `useSemicolonDelimiter` está habilitado. Nesses cenários, o roteador Fastify normaliza a URL para corresponder à rota, mas a URL original não normalizada é passada para o middleware do Express, fazendo com que ele não corresponda e seja ignorado. **Recommendations** Atualize para @fastify/express v4.0.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** @fastify/reply-from versões anteriores a 12.6.2 @fastify/http-proxy versões anteriores a 11.4.4 **Description** Uma falha de lógica no pipeline de processamento de cabeçalhos do framework Fastify para Node.js permite que atacantes remotos não autenticados ignorem controles de segurança. O problema ocorre porque a função `rewriteRequestHeaders()` processa o cabeçalho `Connection` do cliente após o proxy ter adicionado seus próprios cabeçalhos. Isso permite que um invasor remova retroativamente cabeçalhos adicionados pelo proxy para fins de roteamento, controle de acesso ou segurança, listando-os no valor do cabeçalho `Connection`. Isso pode levar à modificação não autorizada de informações protegidas ou à evasão de mecanismos de identificação e autorização do proxy. **Recommendations** Atualize o @fastify/reply-from para a versão 12.6.2 ou posterior. Atualize o @fastify/http-proxy para a versão 11.4.4 ou posterior.