Fredkschott

**Name of the Vulnerable Software and Affected Versions** @fastify/middie versões anteriores a 9.3.2 **Description** O middleware herdado não é registrado diretamente em instâncias do mecanismo de plugins filhos. Quando um middleware de autenticação é registrado em um escopo pai e plugins filhos são registrados com @fastify/middie, o escopo filho não herda o middleware do pai. Isso ocorre porque os caminhos do middleware são prefixados incorretamente ao serem propagados para escopos de plugins filhos; se um plugin filho for registrado com um prefixo que se sobrepõe ao caminho do middleware do escopo pai, o caminho é modificado e não corresponde às solicitações recebidas. Consequentemente, controles de segurança como autenticação, autorização e limitação de taxa são ignorados para todas as rotas definidas nos escopos de plugins filhos e netos afetados, permitindo que solicitações não autenticadas alcancem essas rotas. **Recommendations** Atualize para a versão 9.3.2 do @fastify/middie.

**Name of the Vulnerable Software and Affected Versions** @fastify/middie versões anteriores a 9.3.2 **Description** Existe um bypass de middleware quando a opção obsoleta `ignoreDuplicateSlashes` está habilitada. A lógica de correspondência de caminho do middleware não considera a normalização de barras duplicadas realizada pelo roteador, permitindo que requisições com barras iniciais duplicadas (ex: '//admin/secret') ignorem verificações de autenticação e autorização. Este problema afeta especificamente aplicações que utilizam o estilo de configuração de nível superior obsoleto `fastify({ ignoreDuplicateSlashes: true })` em vez da configuração `routerOptions`. **Recommendations** Atualize para a versão 9.3.2 do @fastify/middie. Como alternativa temporária, migre a configuração obsoleta de nível superior `ignoreDuplicateSlashes: true` para `routerOptions: { ignoreDuplicateSlashes: true }` ou desabilite a opção `ignoreDuplicateSlashes`.

**Name of the Vulnerable Software and Affected Versions** @fastify/express versões anteriores a 4.0.5 **Description** Um erro de manipulação de caminho na função `onRegister()` faz com que os caminhos do middleware sejam duplicados quando herdados por plugins filhos. Quando um plugin filho é registrado com um prefixo que corresponde a um caminho de middleware, o caminho é prefixado uma segunda vez, impedindo que ele corresponda às requisições recebidas. Isso resulta em um bypass completo dos controles de segurança do middleware Express, incluindo autenticação, autorização e limitação de taxa, para todas as rotas definidas nos escopos dos plugins filhos afetados. **Recommendations** Atualize para a versão 4.0.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** @fastify/express versões anteriores a 4.0.5 **Description** Existe um problema onde o software falha ao normalizar URLs antes de passá-las para o middleware do Express quando as opções de normalização do roteador Fastify estão habilitadas. Isso permite que um invasor não autenticado ignore o middleware de autenticação com escopo de caminho manipulando o caminho da URL. Especificamente, a evasão ocorre por meio de barras duplicadas quando `ignoreDuplicateSlashes` está habilitado, ou por meio de delimitadores de ponto e vírgula quando `useSemicolonDelimiter` está habilitado. Nesses cenários, o roteador Fastify normaliza a URL para corresponder à rota, mas a URL original não normalizada é passada para o middleware do Express, fazendo com que ele não corresponda e seja ignorado. **Recommendations** Atualize para @fastify/express v4.0.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** @fastify/reply-from versões anteriores a 12.6.2 @fastify/http-proxy versões anteriores a 11.4.4 **Description** Uma falha de lógica no pipeline de processamento de cabeçalhos do framework Fastify para Node.js permite que atacantes remotos não autenticados ignorem controles de segurança. O problema ocorre porque a função `rewriteRequestHeaders()` processa o cabeçalho `Connection` do cliente após o proxy ter adicionado seus próprios cabeçalhos. Isso permite que um invasor remova retroativamente cabeçalhos adicionados pelo proxy para fins de roteamento, controle de acesso ou segurança, listando-os no valor do cabeçalho `Connection`. Isso pode levar à modificação não autorizada de informações protegidas ou à evasão de mecanismos de identificação e autorização do proxy. **Recommendations** Atualize o @fastify/reply-from para a versão 12.6.2 ou posterior. Atualize o @fastify/http-proxy para a versão 11.4.4 ou posterior.