CVE-2026-16117

Nome do Software Vulnerável e Versões Afetadas @fastify/http-proxy versões anteriores a 11.6.0

Description Existe um problema de normalização inadequada de entrada onde o software falha ao reescrever o prefixo da requisição quando o segmento do prefixo está codificado em URL. Enquanto o roteador decodifica as URLs para a correspondência de rotas, o request.url mantém a forma codificada original, e o processo de reescrita utiliza uma substituição de string literal contra o prefixo decodificado. Essa divergência de codificação permite que um invasor remoto envie requisições com caracteres codificados em URL no prefixo configurado, fazendo com que o proxy corresponda à rota, mas ignore a reescrita. Consequentemente, o caminho codificado bruto é encaminhado para o servidor upstream, que então decodifica o caminho e o processa. Isso leva a um bypass completo do caminho do proxy, expondo endpoints internos ou administrativos que deveriam estar ocultos via a configuração rewritePrefix, podendo resultar em ações administrativas não autorizadas e exposição de dados sensíveis.

Recommendations Atualizar para a versão 11.6.0 do @fastify/http-proxy.