CVE-2026-16117

إصدارات @fastify/http-proxy الأقدم من 11.6.0

توجد مشكلة في تطبيع المدخلات غير السليمة حيث يفشل البرنامج في إعادة كتابة بادئة الطلب عندما يكون جزء البادئة مشفرًا برمز URL. وبينما يقوم الموجه بفك تشفير مسارات URL لمطابقة المسار، يحتفظ request.url بالشكل المشفر الأصلي، وتستخدم عملية إعادة الكتابة استبدالًا حرفيًا للسلسلة مقابل البادئة التي تم فك تشفيرها. يسمح عدم تطابق التشفير هذا لمهاجم بعيد بإرسال طلبات تحتوي على أحرف مشفرة برمز URL في البادئة المكونة، مما يتسبب في قيام الوكيل بمطابقة المسار ولكن تخطي إعادة الكتابة. ونتيجةً لذلك، يتم إعادة توجيه المسار المُشفَّر الخام إلى الخادم الأعلى، الذي يقوم بدوره بفك تشفير المسار وتقديمه. ويؤدي هذا إلى تجاوز كامل لمسار الوكيل، مما يعرض نقاط النهاية الداخلية أو الإدارية التي كان من المفترض إخفاؤها عبر تكوين rewritePrefix، مما قد يؤدي إلى إجراءات إدارية غير مصرح بها وكشف البيانات الحساسة.

قم بالترقية إلى الإصدار 11.6.0 من @fastify/http-proxy.