CVE-2026-15631

Podatność w @fastify/http-proxy do wersji 11.5.0 włącznie powoduje, że prefiks żądania nie jest przepisywany, gdy segment prefiksu jest zakodowany w URL. Fastify dekoduje ścieżki dla dopasowania tras, ale request.url zachowuje oryginalną zakodowaną formę, a krok przepisywania prefiksu używa dosłownego zastąpienia ciągu względem zdekodowanego prefiksu. Żądanie kodujące jeden lub więcej znaków skonfigurowanego prefiksu pasuje do trasy, ale pomija przepisanie, przez co surowa zakodowana ścieżka jest przekazywana do upstreamu bez zmian, umożliwiając atakującemu dostęp do ścieżek upstreamu, które proxy miało ukryć za pomocą rewritePrefix, w tym wewnętrznych lub administracyjnych punktów końcowych.

@fastify/http-proxy przed wersją 11.6.2 nie weryfikuje ścieżek żądań HTTP pod kątem segmentów kropek z ukośnikami odwróconymi przed przekazaniem ich do skonfigurowanego upstreamu. Obsługa zwykłych żądań HTTP pomija walidację miejsca docelowego, którą wykonuje ścieżka WebSocket, a biblioteka reply-from odrzuca tylko trawersację z ukośnikami zwykłymi, więc żądanie zawierające segmenty kropek z ukośnikami odwróconymi może ominąć granicę ustawioną przez opcje prefix i rewritePrefix. Nieuwierzytelniony atakujący sieciowy może wykorzystać to do dotarcia do ścieżek upstreamu, które miały pozostać ukryte za proxy, co prowadzi do ujawnienia wewnętrznych punktów końcowych. Jest to problem trawersacji ścieżki (CWE-22). Użytkownicy powinni zaktualizować @fastify/http-proxy do wersji 11.6.2 lub nowszej.