PT-2026-33035
CVE-2026-33808
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-04-28
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @fastify/express الأقدم من 4.0.5
الوصف
توجد مشكلة تتمثل في فشل البرنامج في تطبيع عناوين URL قبل تمريرها إلى البرمجيات الوسيطة Express عند تمكين خيارات التطبيع في موجه Fastify. وهذا يسمح لمهاجم غير مصدق بتجاوز البرمجيات الوسيطة للمصادقة على نطاق المسار عن طريق التلاعب بمسار عنوان URL. وعلى وجه التحديد، يحدث التجاوز عبر الخطوط المائلة المكررة عند تمكين
ignoreDuplicateSlashes، أو عبر فواصل الفاصلة المنقوطة عند تمكين useSemicolonDelimiter. في هذه السيناريوهات، يقوم موجه Fastify بتوحيد عنوان URL ليتطابق مع المسار، لكن عنوان URL الأصلي غير الموحد يتم تمريره إلى الوسيطة Express، مما يؤدي إلى فشل المطابقة وتخطيها.التوصيات
قم بالترقية إلى @fastify/express v4.0.5 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾