CVE-2026-22037

Nome do Software Vulnerável e Versões Afetadas Versões do @fastify/express anteriores à 4.0.3

Descrição Existe uma vulnerabilidade de segurança no plugin @fastify/express, que fornece compatibilidade com o Express para o Fastify. O problema ocorre quando um middleware é registrado com um prefixo de caminho específico. Atacantes podem contornar o middleware utilizando caracteres codificados em URL no caminho da requisição, como /%61dmin em vez de /admin. O roteador do Fastify decodifica corretamente o caminho e corresponde ao manipulador da rota, permitindo o acesso a endpoints protegidos sem as restrições de middleware pretendidas. Este contorno deve-se à forma como o @fastify/express compara as requisições com os caminhos de middleware registrados.

Recomendações Atualize para a versão 4.0.3 ou posterior do @fastify/express.