Résumé
Traversée de chemin dans Fastify (CVE-2026-15631). Des informations confidentielles peuvent être exposées. Exploitable via prefix. Atténuation : mise à jour vers >= 11.6.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact: @fastify/http-proxy versions from 9.4.0 up to and including 11.5.0 fail to validate the resolved WebSocket destination path against the configured rewrite prefix. The WebSocket routing path in WebSocketProxy.findUpstream resolves the destination via the WHATWG URL constructor, which collapses dot segments, so a crafted upgrade request with path traversal sequences can escape the rewrite prefix and reach upstream endpoints that were not meant to be exposed by the proxy. This is a variant of CVE-2021-21322 in a code path that never went through the HTTP fix in fastify/reply-from. Exploitation requires a non-normalizing WebSocket client, since browsers and the ws package normalize the request path before sending, but raw HTTP clients or downstream proxies that forward the request target unchanged make the attack reachable in production topologies.
Patches: upgrade to @fastify/http-proxy 11.6.0.
Workarounds: none.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-15631 a été découverte dans path-traversal.
Des attaquants peuvent cibler un point d'entrée spécifique comme prefix à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.7/10.
Action : mettez à jour path-traversal vers >= 11.6.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-15631 » sur le site de l'éditeur.
CVE-2026-15631 (path-traversal) — CWE-22 / CVSS v3 8.7
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : prefix / rewritePrefix / upgrade / request
Versions affectées : >= 9.4.0, <= 11.5.0
Correctif : >= 11.6.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Fastifyのバージョン9.4.0から11.5.0において、WebSocketの宛先パスが適切に検証されない脆弱性。
@fastify/http-proxyのバージョン9.4.0から11.5.0
意図しない上位エンドポイントにアクセス可能となるセキュリティリスク。
@fastify/http-proxyをバージョン11.6.0にアップグレードする。
暫定回避策はなし。
特定のWebSocketクライアントまたはダウングレードプロキシを用いて検証可能。
Références
- advisory cna.openjsf.org
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov