Universe-Theori

fastify-cli starts the Node.js Inspector when a debug flag is used, but it ignores the explicit bind address the user supplies and binds the Inspector to a broadly reachable address instead of the intended loopback. As a result the debugging interface can be exposed beyond the local machine, and because the Inspector protocol allows arbitrary code evaluation, a remote party that reaches it can achieve remote code execution on the developer's machine. This affects fastify-cli from 1.5.0 up to 8.0.1. Users should upgrade to fastify-cli 8.0.1, which honors the configured Inspector bind address.

**Nome do Software Vulnerável e Versões Afetadas** @fastify/http-proxy versões 9.4.0 até 11.5.0 **Descrição** Os caminhos de destino WebSocket não são validados corretamente em relação ao prefixo de reescrita configurado. A função `WebSocketProxy.findUpstream()` resolve os destinos usando o construtor WHATWG URL, que colapsa segmentos de ponto. Isso permite que uma solicitação de upgrade manipulada com sequências de traversal de caminho escape do prefixo de reescrita e alcance endpoints upstream que não deveriam estar expostos pelo proxy. Este problema é explorável por meio de clientes WebSocket que não realizam normalização, como clientes HTTP brutos ou proxies downstream que encaminham o alvo da solicitação sem alterações, já que navegadores padrão e o pacote `ws` normalizam o caminho antes do envio. **Recomendações** Atualize o @fastify/http-proxy para a versão 11.6.0.