CVE-2026-15631

WysokieCVSS 8.7

Opublikowano: 18/07/2026(UTC)Zaktualizowano: 28/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W @fastify/http-proxy w wersjach od 9.4.0 do 11.5.0 brak walidacji rozdzielczości ścieżki WebSocket względem skonfigurowanego prefiksu przepisywania. Atakujący może użyć sekwencji nawigacji po ścieżce, aby ominąć prefiks i uzyskać dostęp do nieprzeznaczonych punktów końcowych.

Ocena ryzyka

Atakujący może ominąć ograniczenia proxy i uzyskać dostęp do wewnętrznych usług WebSocket, które nie powinny być wystawione, co prowadzi do nieautoryzowanego dostępu.

Rekomendacja

Zaktualizuj @fastify/http-proxy do wersji 11.6.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w @fastify/http-proxy

CVE-2026-16117Krytyczne
Podatność w @fastify/http-proxy do wersji 11.5.0 włącznie powoduje, że prefiks żądania nie jest przepisywany, gdy segment prefiksu jest zakodowany w URL. Fastify dekoduje ścieżki dla dopasowania tras, ale request.url zachowuje oryginalną zakodowaną formę, a krok przepisywania prefiksu używa dosłownego zastąpienia ciągu względem zdekodowanego prefiksu. Żądanie kodujące jeden lub więcej znaków skonfigurowanego prefiksu pasuje do trasy, ale pomija przepisanie, przez co surowa zakodowana ścieżka jest przekazywana do upstreamu bez zmian, umożliwiając atakującemu dostęp do ścieżek upstreamu, które proxy miało ukryć za pomocą rewritePrefix, w tym wewnętrznych lub administracyjnych punktów końcowych.

Oryginalny opis (angielski, źródło NVD)

Impact: @fastify/http-proxy versions from 9.4.0 up to and including 11.5.0 fail to validate the resolved WebSocket destination path against the configured rewrite prefix. The WebSocket routing path in WebSocketProxy.findUpstream resolves the destination via the WHATWG URL constructor, which collapses dot segments, so a crafted upgrade request with path traversal sequences can escape the rewrite prefix and reach upstream endpoints that were not meant to be exposed by the proxy. This is a variant of CVE-2021-21322 in a code path that never went through the HTTP fix in fastify/reply-from. Exploitation requires a non-normalizing WebSocket client, since browsers and the ws package normalize the request path before sending, but raw HTTP clients or downstream proxies that forward the request target unchanged make the attack reachable in production topologies. Patches: upgrade to @fastify/http-proxy 11.6.0. Workarounds: none.