PT-2026-33321 · Npm · Fastify-Static

Climba03003 + 3 · Publicado 2026-04-16 · Atualizado 2026-04-17 · CVE-2026-6410

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions @fastify/static versões 8.0.0 até 9.1.0

Description Ocorre traversal de caminho quando a listagem de diretórios está habilitada através da opção list. A função dirList.path() resolve diretórios fora da raiz estática configurada usando path.join() sem uma verificação de contenção. Um atacante remoto não autenticado pode obter listagens de diretórios para diretórios arbitrários acessíveis ao processo Node.js, expondo nomes de diretórios e arquivos, embora o conteúdo dos arquivos não seja revelado.

Recommendations Atualize para a versão 9.1.1. Como alternativa temporária, desabilite a listagem de diretórios removendo a opção list da configuração do plugin.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-6410

GHSA-PR96-94W5-MX2H

Produtos afetados

Fastify-Static

Referências · 9

• https://github.com/fastify/fastify-static · Nota
• https://github.com/fastify/fastify-static/security/advisories/GHSA-pr96-94w5-mx2h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-6410 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2044866257288061396 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045102681195168244 · Publicação no Twitter
• https://cna.openjsf.org/security-advisories.html · Nota
• https://twitter.com/infoflowcloud/status/2045105177825284547 · Publicação no Twitter
• https://twitter.com/kom_256/status/2044772309236363306 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-pr96-94w5-mx2h · Aviso do Fabricante