CVE-2026-16117
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w @fastify/http-proxy do wersji 11.5.0 włącznie powoduje, że prefiks żądania nie jest przepisywany, gdy segment prefiksu jest zakodowany w URL. Fastify dekoduje ścieżki dla dopasowania tras, ale request.url zachowuje oryginalną zakodowaną formę, a krok przepisywania prefiksu używa dosłownego zastąpienia ciągu względem zdekodowanego prefiksu. Żądanie kodujące jeden lub więcej znaków skonfigurowanego prefiksu pasuje do trasy, ale pomija przepisanie, przez co surowa zakodowana ścieżka jest przekazywana do upstreamu bez zmian, umożliwiając atakującemu dostęp do ścieżek upstreamu, które proxy miało ukryć za pomocą rewritePrefix, w tym wewnętrznych lub administracyjnych punktów końcowych.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wewnętrznych lub administracyjnych zasobów upstreamu, które miały być ukryte przez proxy, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować @fastify/http-proxy do wersji 11.6.0 lub nowszej. Nie są dostępne żadne rozwiązania tymczasowe.
Oryginalny opis (angielski, źródło NVD)
Impact: @fastify/http-proxy versions up to and including 11.5.0 fail to rewrite the request prefix when the prefix segment is URL-encoded. Fastify's router URL-decodes paths for route matching, but request.url retains the original encoded form, and the prefix-rewrite step uses a literal string replace against the decoded prefix. A request that encodes one or more characters of the configured prefix therefore matches the route but skips the rewrite, so the raw encoded path is forwarded to the upstream unchanged. The upstream then decodes the path and serves it, letting an attacker reach upstream paths that the proxy was configured to hide via rewritePrefix, including internal or administrative endpoints. Patches: upgrade to @fastify/http-proxy 11.6.0. Workarounds: none.