DUPIN Alertas · @fastify/http-proxyhttps://alertas.dupin.com.ar/fabricante/fastify-http-proxy/Alertas de vulnerabilidades de @fastify/http-proxy.esMon, 02 Nov 2026 11:39:52 +000010Vulnerabilidad: CVE-2026-120214 · Evasión de prefijo en @fastify/http-proxy mediante segmentos de punto con barra invertida codificadahttps://alertas.dupin.com.ar/cve/CVE-2026-120214/tg:62738Mon, 02 Nov 2026 11:39:52 +0000VulnerabilidadLa validación de destino normaliza las barras invertidas literales antes de decodificar la ruta, por lo que una ruta con barras invertidas y segmentos de punto codificados supera el control y se convierte en secuencias reales después. Un atacante remoto no autenticado puede acceder a recursos del upstream fuera del prefijo configurado, con impacto solo en confidencialidad y según el manejo de rutas del upstream. Corregido en @fastify/http-proxy 11.6.3.Vulnerabilidad: CVE-2026-120213 · Evasión de prefijo en @fastify/http-proxy mediante parámetros de ruta decodificadoshttps://alertas.dupin.com.ar/cve/CVE-2026-120213/tg:62736Mon, 02 Nov 2026 11:39:48 +0000VulnerabilidadAl usar las opciones parameterized prefix y rewritePrefix, el plugin sustituye parámetros de ruta decodificados en rewritePrefix sin recodificarlos, permitiendo inyectar segmentos de ruta y quitar el sufijo obligatorio sin usar recorrido con puntos. Un atacante remoto no autenticado puede alcanzar ubicaciones del upstream fuera del prefijo previsto, con evasión de restricciones de ruta y posible SSRF o evasión de autorización según el upstream. Corregido en @fastify/http-proxy 11.6.5.