CVE-2026-112362

Nome do Software Vulnerável e Versões Afetadas @fastify/express versões 4.0.5 a 4.0.8

Descrição Quando a opção não padrão ignoreDuplicateSlashes está ativada, o plugin associa o middleware do Express com escopo de caminho a uma URL onde a normalização de barras duplicadas colapsa o separador após o esquema de um alvo de solicitação em forma absoluta. Isso faz com que o roteador do Fastify resolva a solicitação para o caminho com escopo e execute o manipulador, enquanto a camada do Express não reconhece mais esse caminho. Como resultado, um invasor não autenticado pode usar um alvo em forma absoluta para alcançar um manipulador em uma rota com escopo, como um caminho de administrador, ignorando o middleware de autenticação, autorização ou limitação de taxa.

Recomendações Atualizar para a versão 4.0.9 ou posterior. Impor a autenticação em um hook do Fastify, como o preHandler, que seja executado após o roteador resolver a solicitação. Manter a opção ignoreDuplicateSlashes em sua configuração padrão.