PT-2026-33313
CVE-2026-6414
·
تاريخ النشر
2026-01-20
·
تاريخ التحديث
2026-07-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@fastify/static من الإصدار 8.0.0 حتى 9.1.0
الوصف
يوجد ثغرة تسمح بتجاوز المصادقة والتفويض بسبب عدم اتساق عملية فك تشفير عناوين URL بين جهاز التوجيه Fastify ومعالج الملفات الثابتة. حيث يعامل جهاز التوجيه فواصل المسارات المشفرة بنسبة المئوية (
%2F) كأحرف حرفية، بينما يقوم معالج الملفات الثابتة بفك تشفيرها قبل تحديد موقع الملف في نظام الملفات. يسمح هذا التباين للمهاجمين بالالتفاف على البرامج الوسيطة القائمة على المسارات أو الحواجز المصممة لحماية مسارات محددة. على سبيل المثال، قد لا يتطابق الطلب الموجه إلى /admin%2Fsecret.html مع حاجز محدد لـ /admin/*، ولكنه سيُحل ويُعرض على أنه /admin/secret.html بواسطة معالج الملفات الثابتة.التوصيات
قم بترقية @fastify/static إلى الإصدار 9.1.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾