CVE-2026-18427

إصدارات @fastify/static الأقدم من 10.1.3

يسمح الإصلاح غير الكامل لمشكلة تجاوز حارس المسار لمهاجم غير مصدق بالوصول إلى الملفات المحمية بواسطة حارس قائم على المسار. فقد فشل معالج الملفات الثابتة في توحيد أجزاء النقاط، أو الشرطات المكررة، أو النقاط المشفرة، أو الشرطات العكسية قبل مطابقة المسار والتفويض إلى طبقة الإرسال. باستخدام شكل مسار غير قياسي، يمكن للمهاجم تجاوز المسار المحمي للكشف عن محتويات الملفات المحمية. تؤثر هذه المشكلة بشكل خاص على التطبيقات التي تحمي شجرة فرعية من الجذر الثابت باستخدام حارس قائم على المسار، في حين أن التطبيقات التي تستخدم خيار allowedPath تظل غير متأثرة.

تحديث @fastify/static إلى الإصدار 10.1.3.