PT-2026-22377 · Fastify · @Fastify/Middie
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do @fastify/middie anteriores a 9.2.0
Descrição
Existe uma falha no @fastify/middie que pode levar ao bypass de autenticação ou autorização quando é utilizado middleware com escopo de caminho, como em
app.use('/secret', auth). Isso ocorre quando as opções de normalização do roteador do Fastify estão habilitadas, incluindo opções como ignoreDuplicateSlashes, useSemicolonDelimiter e comportamento de barra final. Especificamente, caminhos de requisição especialmente elaborados podem contornar as verificações do middleware e ainda assim alcançar manipuladores protegidos.Recomendações
Atualize o @fastify/middie para a versão 9.2.0 ou superior.
Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
@Fastify/Middie