PT-2026-54639
CVE-2026-14198
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-07-02
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@fastify/middie من الإصدار 9.1.0 حتى 9.3.2
الوصف
يحدث تجاوز للتفويض لأن البرنامج يقوم بفك تشفير الشرطة المائلة المشفرة %2F ضمن قيم معلمات المسار قبل مطابقة مسارات البرامج الوسيطة، في حين أن جهاز التوجيه الأساسي يحافظ على هذا التشفير أثناء البحث عن المسار. يسمح هذا التباين لطلب ما بتجاوز البرامج الوسيطة المستخدمة للمصادقة أو التفويض أو تحديد معدل الاستخدام أو التدقيق على المسارات المعلمة، مما يمكّن المهاجم من الوصول إلى معالج محمي باستخدام عنوان URL مُصمم خصيصًا يحتوي على شرطة مائلة مشفرة في موضع المعلمة. هذه المشكلة لا تعتمد على طريقة HTTP ولا تتطلب أي مصادقة أو شروط مسبقة خاصة.
التوصيات
قم بالترقية إلى الإصدار 9.3.3 من @fastify/middie.
تجنب استخدام مسارات البرامج الوسيطة المعلمة لاتخاذ القرارات الأمنية.
فرض المصادقة في معالج المسار أو عبر ربط Fastify يتم تنفيذه بعد أن يقوم جهاز التوجيه بحل الطلب.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾