CVE-2026-120213 Evasión de prefijo en @fastify/http-proxy mediante parámetros de ruta decodificados
Al usar las opciones parameterized prefix y rewritePrefix, el plugin sustituye parámetros de ruta decodificados en rewritePrefix sin recodificarlos, permitiendo inyectar segmentos de ruta y quitar el sufijo obligatorio sin usar recorrido con puntos. Un atacante remoto no autenticado puede alcanzar ubicaciones del upstream fuera del prefijo previsto, con evasión de restricciones de ruta y posible SSRF o evasión de autorización según el upstream. Corregido en @fastify/http-proxy 11.6.5.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 53
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
@fastify/http-proxy
desde 9.0.0 hasta antes de 11.6.6
Qué hacer
- Verificá si usás @fastify/http-proxy y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
@fastify/http-proxy is a Fastify plugin that proxies HTTP requests to an upstream server under a configured prefix. In versions 9.0.0 through 11.6.5, when an application uses parameterized prefix and rewritePrefix options to pin clients to a fixed upstream path, the plugin substitutes URL-decoded route parameters into rewritePrefix without re-encoding them. A parameter value that encodes a path separator together with a fragment or query delimiter therefore decodes into real separators and delimiters that inject extra upstream path segments and strip the mandatory suffix the rewritePrefix was meant to enforce, without using any dot-dot traversal. An unauthenticated remote attacker can use this to reach upstream locations outside the intended prefix, leading to path-restriction bypass and, depending on the upstream, server-side request forgery or authorization bypass in the proxied service. The issue is fixed in @fastify/http-proxy 11.6.6, and users should upgrade to 11.6.6 or later. There is no workaround other than upgrading.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.