CVE-2026-117518 Recorrido de directorios en @fastify/reply-from mediante evasión de prefijo con segmentos de punto y barra…
El plugin validaba las rutas de proxy solo contra segmentos de punto con barra normal y luego construía el destino con el parser URL WHATWG, que normaliza la barra invertida y su forma codificada a barra normal en los esquemas http, https, ws y wss. Una ruta con segmentos de punto y barra invertida evade el control y resuelve a otra ruta del upstream, permitiendo que una solicitud no autenticada escape del prefijo previsto y alcance otros endpoints, con impacto principalmente en confidencialidad. Corregido en…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 40
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
@fastify/reply-from
hasta antes de 12.8.1
Qué hacer
- Verificá si usás @fastify/reply-from y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
@fastify/reply-from is a Fastify plugin that forwards requests to an upstream HTTP server. In versions up to and including 12.8.0, the plugin validated proxy paths against forward-slash dot-segments only and then built the target with the WHATWG URL parser, which normalizes a backslash and its percent-encoded form to a forward slash on the http, https, ws, and wss schemes. A path that uses backslash dot-segments therefore bypasses the traversal check and resolves to a different upstream path, so an application that scopes proxying to an upstream prefix, or relies on route guards in front of the forwarding call, can have an unauthenticated request escape the intended prefix and reach other upstream endpoints. The resulting access to unintended upstream resources is primarily a confidentiality impact with limited integrity impact. The issue is fixed in @fastify/reply-from 12.8.1, where the path is normalized and any segment resolving to a single or double dot, along with control characters and ambiguous whitespace, is rejected before the URL is constructed, and users should upgrade to 12.8.1 or later. There is no workaround other than upgrading.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.