PT-2026-3448 · Fastify · @Fastify/Middie

Rootxharsh · Publicado 2026-01-19 · Atualizado 2026-05-14 · CVE-2026-22031

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas @fastify/middie versões anteriores à 9.1.0

Descrição Existe uma vulnerabilidade de segurança no @fastify/middie na qual middleware registrado com um prefixo de caminho específico pode ser contornado utilizando caracteres codificados em URL. Por exemplo, usando /%61dmin em vez de /admin. O mecanismo de middleware falha ao corresponder o caminho codificado, ignorando a execução, mas o roteador do Fastify decodifica o caminho e corresponde ao manipulador da rota, potencialmente permitindo o acesso a endpoints protegidos. O problema ocorre porque o roteador subjacente do Fastify decodifica corretamente o caminho, enquanto o mecanismo de middleware não o faz. Isso permite que atacantes contornem as restrições do middleware e acessem endpoints protegidos.

Recomendações Atualize o @fastify/middie para a versão 9.1.0 ou superior.

Exploit

Correção

Enumeração de Fraquezas

CWE-177

Identificadores relacionados

CVE-2026-22031

GHSA-CXRG-G7R8-W69P

Produtos afetados

@Fastify/Middie

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22031.json · Exploit
• https://github.com/fastify/middie/security/advisories/GHSA-cxrg-g7r8-w69p · Aviso do Fabricante
• https://github.com/fastify/middie · Nota
• https://github.com/fastify/middie/pull/245 · Correção
• https://github.com/fastify/middie/commit/d44cd56eb724490babf7b452fdbbdd37ea2effba · Correção
• https://github.com/fastify/middie/releases/tag/v9.1.0 · Nota
• https://twitter.com/TheHackerWire/status/2013295320088686910 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22031 · Nota de Segurança
• https://twitter.com/CVEnew/status/2013277739277504979 · Publicação no Twitter
• https://t.me/cveNotify/163471 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-22031 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cxrg-g7r8-w69p · Aviso do Fabricante
• https://t.me/cveNotify/155405 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2013291027545600089 · Publicação no Twitter