CVE-2026-112362

@fastify/express to wtyczka Fastify, która uruchamia oprogramowanie pośrednie Express w Fastify. W wersjach od 4.0.5 do 4.0.8, gdy Fastify działa z włączoną inną niż domyślna opcją ignorowaniaDuplicateSlashes, wtyczka dopasowuje oprogramowanie pośrednie Express z zakresem ścieżki do adresu URL, którego normalizacja z duplikatami ukośników również zwinęła separator po schemacie docelowym żądania w formie bezwzględnej, więc router Fastify rozwiązuje żądanie do ścieżki o określonym zakresie i uruchamia procedurę obsługi, podczas gdy warstwa Express nie widzi już tej ścieżki. W rezultacie żądanie korzystające z celu w formie bezwzględnej może dotrzeć do procedury obsługi na trasie o ograniczonym zakresie, takiej jak ścieżka administratora, podczas gdy oprogramowanie pośredniczące do uwierzytelniania, autoryzacji lub ograniczania szybkości jest pomijane. Nieuwierzytelnionemu atakującemu wystarczy włączenie innej niż domyślna opcji ignorowaniaDuplicateSlashes. Problem został rozwiązany w @fastify/express 4.0.9 i użytkownicy powinni dokonać aktualizacji do wersji 4.0.9 lub nowszej. Jako obejście wymuś uwierzytelnianie w przechwycie Fastify, takim jak preHandler, które jest uruchamiane po tym, jak router rozwiąże żądanie, lub pozostaw opcję ignorowaniaDuplicateSlashes na wartości domyślnej.