PT-2026-33313 · Npm · Fastify-Static

Blakeembrey + 3 · Publicado 2026-04-16 · Atualizado 2026-04-17 · CVE-2026-6414

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions @fastify/static versões 8.0.0 até 9.1.0

Description O @fastify/static decodifica separadores de caminho codificados em percentual ('%2F') antes da resolução do sistema de arquivos, enquanto o roteador do Fastify os trata como caracteres literais. Essa discrepância permite uma incompatibilidade de roteamento onde guards de rota ou middlewares que protegem caminhos específicos podem ser ignorados. Por exemplo, um guard protegendo '/admin/*' não corresponderá a uma solicitação para '/admin%2Fsecret.html', mas o software decodificará a solicitação e servirá o arquivo de '/admin/secret.html'.

Recommendations Atualize para a versão 9.1.1 do @fastify/static.

Correção

Enumeração de Fraquezas

CWE-177

Identificadores relacionados

CVE-2026-6414

GHSA-X428-GHPX-8J92

Produtos afetados

Fastify-Static

Referências · 10

• https://github.com/honojs/hono/security/advisories/GHSA-q5qw-h33p-qvwr · Nota
• https://github.com/fastify/fastify-static/security/advisories/GHSA-x428-ghpx-8j92 · Aviso do Fabricante
• https://github.com/fastify/fastify-static · Nota
• https://github.com/fastify/middie/security/advisories/GHSA-cxrg-g7r8-w69p · Nota
• https://twitter.com/kom_256/status/2044766601203859626 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6414 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-x428-ghpx-8j92 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045102683334250943 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2045105255675842845 · Publicação no Twitter
• https://cna.openjsf.org/security-advisories.html · Nota