CVE-2026-6410

@fastify/static من الإصدار 8.0.0 حتى 9.1.0

تحدث ثغرة «عبور المسار» (path traversal) عند تمكين عرض قائمة الدلائل عبر الخيار list. تقوم الدالة dirList.path() بحل مسارات الدلائل خارج الجذر الثابت المُعدّ باستخدام path.join() دون إجراء فحص للاحتواء. يمكن لمهاجم بعيد غير مصدق عليه الحصول على قوائم الدلائل لأي دلائل يمكن لعملية Node.js الوصول إليها، مما يؤدي إلى الكشف عن أسماء الدلائل والملفات، على الرغم من عدم الكشف عن محتويات الملفات.

قم بالترقية إلى الإصدار 9.1.1.

كحل مؤقت، قم بتعطيل عرض قائمة الدلائل عن طريق إزالة الخيار list من تكوين المكون الإضافي.