PT-2026-126386
CVE-2026-112362
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@fastify/express الإصدارات من 4.0.5 إلى 4.0.8
الوصف
عند تفعيل خيار
ignoreDuplicateSlashes غير الافتراضي، يقوم المكون الإضافي بمطابقة برمجيات Express الوسيطة ذات النطاق المساري مع عنوان URL حيث تؤدي عملية تطبيع الشرطات المزدوجة إلى دمج الفاصل بعد مخطط هدف الطلب ذو الصيغة المطلقة. يتسبب ذلك في قيام موجه Fastify بتوجيه الطلب إلى المسار المحدد وتشغيل المعالج، بينما لا تعود طبقة Express ترى ذلك المسار. ونتيجة لذلك، يمكن لمهاجم غير مصرح له استخدام هدف بصيغة مطلقة للوصول إلى معالج في مسار محدد، مثل مسار المسؤول، مع تخطي البرمجيات الوسيطة الخاصة بالمصادقة أو التفويض أو تحديد معدل الطلبات.التوصيات
التحديث إلى الإصدار 4.0.9 أو أحدث.
فرض المصادقة في خطاف Fastify مثل
preHandler الذي يعمل بعد أن يقوم الموجه بحل الطلب.
ترك خيار ignoreDuplicateSlashes على إعداده الافتراضي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾