CVE-2026-7120
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W @fastify/static przed wersją 10.1.2 funkcja allowedPath jest wywoływana przed normalizacją segmentów kropek i duplikatów separatorów ścieżki. Nieuwierzytelniony atakujący może ominąć ograniczenia allowedPath, żądając niekanonicznych ścieżek, co pozwala na serwowanie plików, które miały być zablokowane.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików statycznych, które powinny być chronione przez reguły allowedPath, potencjalnie ujawniając poufne dane.
Rekomendacja
Zaleca się aktualizację @fastify/static do wersji 10.1.2 lub nowszej.
Inne podatności w @fastify/static
Zobacz wszystkie- CVE-2026-18427Wysokie
@fastify/static przed wersją 10.1.3 zawiera niekompletną poprawkę wcześniejszego obejścia zabezpieczeń tras. Obsługa plików statycznych odrzucała tylko segmenty katalogu nadrzędnego, ale nie kanonizowała segmentów kropek, podwójnych ukośników, zakodowanych kropek ani ukośników odwrotnych przed dopasowaniem trasy i delegowaniem do warstwy send. W rezultacie nieuwierzytelniony atakujący może zażądać pliku chronionego przez zabezpieczenie oparte na trasie, używając niekanonicznej ścieżki, która omija chronioną trasę, ale rozwiązuje się do chronionego pliku, ujawniając jego zawartość. Aplikacje chroniące poddrzewo katalogu statycznego zabezpieczeniem opartym na trasie są dotknięte, podczas gdy aplikacje polegające na opcji allowedPath nie są. Poprawka w wersji 10.1.3 kanonizuje ścieżkę, w tym odrzuca ukośniki odwrotne, na ścieżce używanej do routingu i serwowania.
- CVE-2026-15074Wysokie
Biblioteka @fastify/static do wersji 10.1.0 nie odrzuca sekwencji '..' w ścieżkach URL przed rozpoznaniem pliku. Umożliwia to ominięcie zabezpieczeń przed path traversal i odczyt plików wewnątrz katalogu statycznego, które znajdują się pod chronionym prefiksem URL. Podatność została załatana w wersji 10.1.1.
Oryginalny opis (angielski, źródło NVD)
@fastify/static evaluates the allowedPath callback before normalizing dot segments and duplicate path separators in the pathname used for file resolution. Versions up to and including 10.1.1 are affected. An unauthenticated attacker can bypass allowedPath restrictions by requesting equivalent non-canonical pathnames, causing files that were intended to be denied to be served anyway. The bypass does not allow access outside the configured static root by itself, it defeats path-based filtering only. The issue is patched in @fastify/static 10.1.2.