CVE-2026-117518

@fastify/reply-from to wtyczka Fastify, która przekazuje żądania do nadrzędnego serwera HTTP. W wersjach do 12.8.0 włącznie wtyczka sprawdzała ścieżki proxy tylko względem segmentów kropek z ukośnikiem, a następnie budowała cel za pomocą parsera URL WHATWG, który normalizuje ukośnik odwrotny i jego postać zakodowaną procentowo do ukośnika w schematach http, https, ws i wss. Ścieżka korzystająca z segmentów kropek z ukośnikiem odwrotnym omija kontrolę przejścia i kieruje się do innej ścieżki nadrzędnej, więc aplikacja, która ogranicza proxy do prefiksu nadrzędnego lub opiera się na strażnikach trasy przed wywołaniem przekazującym, może spowodować, że nieuwierzytelnione żądanie wymknie się z zamierzonego prefiksu i dotrze do innych punktów końcowych nadrzędnych. Wynikający z tego dostęp do niezamierzonych zasobów wyższego szczebla ma przede wszystkim wpływ na poufność przy ograniczonym wpływie na integralność. Problem został rozwiązany w @fastify/reply-od wersji 12.8.1, gdzie ścieżka jest znormalizowana, a każdy segment składający się z pojedynczej lub podwójnej kropki, wraz ze znakami kontrolnymi i niejednoznacznymi białymi znakami, jest odrzucany przed skonstruowaniem adresu URL, a użytkownicy powinni dokonać aktualizacji do wersji 12.8.1 lub nowszej. Nie ma innego rozwiązania niż aktualizacja.