CVE-2026-117518

Nome do Software Vulnerável e Versões Afetadas @fastify/reply-from versões anteriores a 12.8.1

Description Este plugin encaminha solicitações para um servidor HTTP upstream. Ele falha ao validar adequadamente os caminhos de proxy porque verifica apenas segmentos de ponto com barra diagonal (forward-slash). O analisador de URL WHATWG normaliza barras invertidas (backslashes) e suas formas codificadas em porcentagem para barras diagonais nos esquemas http, https, ws e wss. Consequentemente, um caminho que utiliza segmentos de ponto com barra invertida pode ignorar as verificações de travessia, permitindo que solicitações não autenticadas escapem dos prefixos pretendidos e alcancem endpoints upstream não autorizados. Isso resulta em um impacto de confidencialidade e impacto limitado de integridade.

Recommendations Atualize o @fastify/reply-from para a versão 12.8.1 ou posterior.