CVE-2026-120213

Nome do Software Vulnerável e Versões Afetadas @fastify/http-proxy versões 9.0.0 até 11.6.5

Descrição Quando uma aplicação utiliza prefixos parametrizados e opções rewritePrefix para fixar clientes a um caminho upstream fixo, o plugin substitui parâmetros de rota decodificados de URL no rewritePrefix sem reencodificá-los. Um invasor remoto não autenticado pode fornecer um valor de parâmetro que codifica um separador de caminho junto com um delimitador de fragmento ou consulta. Isso é decodificado em separadores e delimitadores reais que injetam segmentos de caminho upstream adicionais e removem o sufixo obrigatório que o rewritePrefix deveria impor. Isso permite que o invasor acesse locais upstream fora do prefixo pretendido, resultando em bypass de restrição de caminho, o que pode levar a server-side request forgery (SSRF) ou bypass de autorização no serviço proxy.

Recomendações Atualizar para a versão 11.6.6 ou posterior.