CVE-2026-120214 Evasión de prefijo en @fastify/http-proxy mediante segmentos de punto con barra invertida codificada
La validación de destino normaliza las barras invertidas literales antes de decodificar la ruta, por lo que una ruta con barras invertidas y segmentos de punto codificados supera el control y se convierte en secuencias reales después. Un atacante remoto no autenticado puede acceder a recursos del upstream fuera del prefijo configurado, con impacto solo en confidencialidad y según el manejo de rutas del upstream. Corregido en @fastify/http-proxy 11.6.3.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 41
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
@fastify/http-proxy
desde 11.6.0 hasta antes de 11.6.3
Qué hacer
- Verificá si usás @fastify/http-proxy y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
@fastify/http-proxy is a Fastify plugin that proxies HTTP requests to an upstream server under a configured prefix. In versions 11.6.0 through 11.6.2, the destination validation normalizes literal backslashes before it percent-decodes the request path, so a path that encodes its backslashes and dot-segments survives the dot-segment check and is only turned into backslash and double-dot sequences after that check has passed. When the upstream resolves on a platform that treats a backslash as a path separator, the forwarded request walks out of the configured proxy prefix and reaches a sibling location on the upstream. An unauthenticated remote attacker can use this to retrieve upstream resources outside the intended prefix, so the impact is confidentiality only, and exploitation depends on the upstream's path handling. The issue is fixed in @fastify/http-proxy 11.6.3, and users should upgrade to 11.6.3 or later. This is a follow-up to the earlier prefix-escape fix, which did not account for the encoded-backslash form.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.