PT-2026-3452
CVE-2026-22037
·
تاريخ النشر
2026-01-19
·
تاريخ التحديث
2026-01-20
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @fastify/express الأقدم من 4.0.3
الوصف
توجد ثغرة أمنية في المكون الإضافي @fastify/express، الذي يوفر التوافق مع Express لـ Fastify. تحدث المشكلة عندما يتم تسجيل برنامج وسيط (middleware) ببادئة مسار محددة. يمكن للمهاجمين التحايل على البرنامج الوسيط باستخدام أحرف مشفرة في عنوان URL في مسار الطلب، مثل
/%61dmin بدلاً من /admin. يقوم موجه Fastify بفك تشفير المسار بشكل صحيح ومطابقته مع معالج المسار، مما يسمح بالوصول إلى نقاط النهاية المحمية دون قيود البرنامج الوسيط المقصودة. يرجع هذا الالتفاف إلى الطريقة التي يقارن بها @fastify/express الطلبات بمسارات برامج الوسيطة المسجلة.التوصيات
قم بالتحديث إلى الإصدار 4.0.3 أو أحدث من @fastify/express.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾