PT-2026-33323 · Npm · @Fastify/Middie

Climba03003 + 3 · Publicado 2026-04-16 · Atualizado 2026-04-17 · CVE-2026-33804

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions @fastify/middie versões anteriores a 9.3.2

Description Existe um bypass de middleware quando a opção obsoleta ignoreDuplicateSlashes está habilitada. A lógica de correspondência de caminho do middleware não considera a normalização de barras duplicadas realizada pelo roteador, permitindo que requisições com barras iniciais duplicadas (ex: '//admin/secret') ignorem verificações de autenticação e autorização. Este problema afeta especificamente aplicações que utilizam o estilo de configuração de nível superior obsoleto fastify({ ignoreDuplicateSlashes: true }) em vez da configuração routerOptions.

Recommendations Atualize para a versão 9.3.2 do @fastify/middie. Como alternativa temporária, migre a configuração obsoleta de nível superior ignoreDuplicateSlashes: true para routerOptions: { ignoreDuplicateSlashes: true } ou desabilite a opção ignoreDuplicateSlashes.

Correção

Enumeração de Fraquezas

CWE-436

Identificadores relacionados

CVE-2026-33804

GHSA-V9WW-2J6R-98Q6

Produtos afetados

@Fastify/Middie

Referências · 9

• https://github.com/fastify/middie/security/advisories/GHSA-v9ww-2j6r-98q6 · Aviso do Fabricante
• https://github.com/fastify/middie · Nota
• https://twitter.com/CVEnew/status/2045102676988272773 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2045105199979634762 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-v9ww-2j6r-98q6 · Aviso do Fabricante
• https://cna.openjsf.org/security-advisories.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-33804 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2044858577744011716 · Publicação no Twitter
• https://twitter.com/kom_256/status/2044778243740278952 · Publicação no Twitter