PT-2026-63567
CVE-2026-7120
·
تاريخ النشر
2026-07-23
·
تاريخ التحديث
2026-07-24
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @fastify/static الأقدم من 10.1.2
الوصف
يمكن لمهاجم غير مصدق تجاوزه التصفية القائمة على المسار، وذلك لأن دالة الاستدعاء
allowedPath يتم تقييمها قبل توحيد أجزاء النقطة وفواصل المسار المكررة في اسم المسار المستخدم لتحديد موقع الملف. من خلال طلب أسماء مسارات غير قياسية، مثل //file أو /./file أو /public/../private/file، يمكن للمهاجم الوصول إلى الملفات التي كان من المفترض منع الوصول إليها. تؤدي هذه المشكلة إلى تجاوز الحدود الأمنية التي وضعتها allowedPath، لكنها لا تسمح بالوصول خارج الجذر الثابت المُعد.التوصيات
قم بالترقية إلى الإصدار 10.1.2 أو أحدث من @fastify/static.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾