CVE-2026-76169

Nome do Software Vulnerável e Versões Afetadas fastify versões 4.0.0 até 5.12.1

Description Um invasor não autenticado pode ignorar hooks de autenticação e quebrar o encapsulamento de prefixo ao enviar uma URL malformada. O roteador interno de not-found para manipuladores encapsulados despacha caminhos malformados através de um ponteiro de manipulador compartilhado único antes da decodificação da URL, o que ignora o prefixo e pula o ciclo de vida normal do manipulador selecionado. Isso permite que uma requisição enviada sob o prefixo de um plugin seja roteada para o manipulador customizado de not-found de um plugin irmão diferente, potencialmente permitindo que o invasor acesse um fallback privado protegido por autenticação e leia sua resposta completa.

Recommendations Atualize para a versão 5.12.2 ou posterior do fastify.