CVE-2026-85124

Nome do Software Vulnerável e Versões Afetadas @fastify/http-proxy versões anteriores a 11.6.2

Description Um invasor de rede não autenticado pode explorar um problema de traversal de caminho onde os caminhos de requisições HTTP proxyadas não são validados para dot-segments baseados em barra invertida antes de serem encaminhados para o servidor upstream. O manipulador de requisições HTTP simples ignora a validação de destino realizada pelos caminhos WebSocket, e a biblioteca reply-from subjacente rejeita apenas o traversal de barra normal. Isso permite que requisições contendo dot-segments de barra invertida escapem dos limites definidos pelas opções prefix e rewritePrefix, permitindo o acesso a caminhos internos do upstream e a divulgação de endpoints ocultos.

Recommendations Atualize para a versão 11.6.2 ou posterior do @fastify/http-proxy.