CVE-2026-22031
WysokieStreszczenie
Wtyczka @fastify/middie przed wersją 9.1.0 zawiera podatność, która pozwala na ominięcie zarejestrowanego middleware przy użyciu zakodowanych znaków URL. Atakujący mogą uzyskać dostęp do chronionych punktów końcowych bez ograniczeń narzucanych przez middleware.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do wrażliwych zasobów, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki @fastify/middie do wersji 9.1.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w @fastify/middie
Zobacz wszystkie- CVE-2026-33804Wysokie
Wersje @fastify/middie 9.3.1 i wcześniejsze są podatne na obejście middleware, gdy włączona jest przestarzała opcja ignoreDuplicateSlashes. Logika dopasowywania ścieżek middleware nie uwzględnia normalizacji podwójnych ukośników, co pozwala na ominięcie kontroli uwierzytelniania i autoryzacji.
- CVE-2026-14198Krytyczne
Podatność w @fastify/middie w wersjach 9.1.0 do 9.3.2 powoduje rozbieżność w interpretacji zakodowanego ukośnika (%2F) między middleware a routerem Fastify. Atakujący może ominąć middleware używane do uwierzytelniania, autoryzacji lub ograniczania prędkości, wysyłając spreparowane żądanie z zakodowanym ukośnikiem w parametrze ścieżki.
- CVE-2026-6270Krytyczne
Wersje @fastify/middie do 9.3.1 nie rejestrują dziedziczonych middleware bezpośrednio na instancjach silnika wtyczek podrzędnych. To pozwala na ominięcie kontroli uwierzytelniania i autoryzacji dla żądań kierowanych do tras zdefiniowanych w wtyczkach podrzędnych.
- CVE-2026-2880Krytyczne
Podatność w @fastify/middie w wersjach poniżej 9.2.0 może prowadzić do ominięcia uwierzytelniania/autoryzacji przy użyciu middleware o zasięgu ścieżki. W przypadku włączonych opcji normalizacji routera Fastify, odpowiednio skonstruowane ścieżki żądań mogą omijać kontrole middleware.
- CVE-2026-14181Wysokie
Podatność w @fastify/middie w wersjach 9.1.0 do 9.3.2 powoduje awarię procesu Node.js przy przetwarzaniu nieprawidłowo zakodowanych sekwencji procentowych w ścieżkach żądań. Błąd występuje tylko przy użyciu samodzielnego silnika API (middie.run), a nie wtyczki Fastify.
Oryginalny opis (angielski, źródło NVD)
@fastify/middie is the plugin that adds middleware support on steroids to Fastify. A security vulnerability exists in @fastify/middie prior to version 9.1.0 where middleware registered with a specific path prefix can be bypassed using URL-encoded characters (e.g., `/%61dmin` instead of `/admin`). While the middleware engine fails to match the encoded path and skips execution, the underlying Fastify router correctly decodes the path and matches the route handler, allowing attackers to access protected endpoints without the middleware constraints. Version 9.1.0 fixes the issue.