Traversée de chemin dans @fastify/static (CVE-2026-15074, CVSS 7.5)

Résumé

Traversée de chemin dans @fastify/static (CVE-2026-15074). Des informations confidentielles peuvent être exposées. Exploitable via getPathnameForSend. Atténuation : mise à jour vers 10.1.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

@fastify/static up to and including version 10.1.0 fails to reject dot-dot path segments in request pathnames before the file-resolution stage. This is a bypass of the earlier fix for CVE-2026-6414, which only covered encoded forward slashes. Because the underlying send library normalizes dot segments before applying its own path-traversal guard, an unauthenticated attacker can bypass any route-scoped middleware and read files inside the static root that live under the guarded URL prefix. The bypass does not allow access outside the configured static root by itself, it defeats route-guard filtering only. The issue is patched in @fastify/static 10.1.1.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-15074 a été découverte dans fastify.
Des attaquants peuvent cibler un point d'entrée spécifique comme getPathnameForSend à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « fastify CVE-2026-15074 » sur le site de l'éditeur.

CVE-2026-15074 (fastify) — CWE-22 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : getPathnameForSend / decodeURI / encodeURI / path.normalize
Versions affectées : <= 10.1.0
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

@fastify/staticにおけるパストラバーサル脆弱性

📍 Périmètre concerné

バージョン10.1.0までの@fastify/static

🔥 Gravité

認証されていない攻撃者が静的ルート内のファイルを読み取ることが可能

🔧 Comment corriger

@fastify/staticをバージョン10.1.1以降にアップデートする

🛡️ Contournement

情報なし

🔍 Détection

バージョン10.1.0以下を使用しているか確認する

Paquets affectés

npm @fastify/static

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"10.1.1"}]}]

Références

advisory cna.openjsf.org
advisory github.com
advisory nvd.nist.gov
advisory github.com
package github.com
web github.com
web github.com
web github.com