प्लेटफ़ॉर्म
nodejs
घटक
node.js
में ठीक किया गया
9.1.1
9.1.1
CVE-2026-6410 एक पाथ ट्रैवर्सल भेद्यता है जो @fastify/static प्लगइन के 8.0.0 से 9.1.0 तक के संस्करणों में पाई गई है। यदि directory listing सक्षम है, तो हमलावर Node.js प्रक्रिया द्वारा एक्सेस की जा सकने वाली निर्देशिकाओं की सूची प्राप्त कर सकते हैं, जिससे संवेदनशील जानकारी उजागर हो सकती है। इस भेद्यता को ठीक करने के लिए, @fastify/static को 9.1.1 में अपग्रेड करने की अनुशंसा की जाती है या directory listing को निष्क्रिय कर दें।
CVE-2026-6410 @fastify/static के संस्करण 8.0.0 से 9.1.0 को प्रभावित करता है। यह एक प्रमाणीकृत दूरस्थ हमलावर को Node.js प्रक्रिया द्वारा एक्सेस किए जा सकने वाले मनमाना निर्देशिकाओं की निर्देशिका सूची प्राप्त करने की अनुमति देता है। यह dirList.path() फ़ंक्शन में एक दोष के कारण होता है, जो उचित नियंत्रण जांच के बिना path.join() का उपयोग करके निर्देशिकाओं को हल करता है। फ़ाइल सामग्री का खुलासा नहीं किया जाता है, लेकिन निर्देशिका और फ़ाइल नामों का प्रदर्शन एप्लिकेशन संरचना के बारे में संवेदनशील जानकारी एकत्र करने के लिए उपयोग किया जा सकता है और आगे के हमलों को सुविधाजनक बना सकता है। CVSS गंभीरता 5.3 है, जो तत्काल ध्यान देने की आवश्यकता वाली मध्यम जोखिम को इंगित करता है।
एक हमलावर @fastify/static का उपयोग करके 'list' विकल्प सक्षम के साथ Fastify एप्लिकेशन को सावधानीपूर्वक तैयार किए गए HTTP अनुरोध भेजकर इस भेद्यता का फायदा उठा सकता है। अनुरोधित पथ को हेरफेर करके, हमलावर dirList.path() फ़ंक्शन को कॉन्फ़िगर किए गए रूट निर्देशिका के बाहर निर्देशिकाओं को हल करने के लिए धोखा दे सकता है, जिससे निर्देशिका सामग्री का खुलासा होता है। प्रमाणीकरण की कमी का मतलब है कि कोई भी दूरस्थ उपयोगकर्ता इस भेद्यता का फायदा उठाने का प्रयास कर सकता है। शोषण की कठिनाई कम है, क्योंकि इसके लिए उन्नत तकनीकी कौशल या विशेषाधिकार प्राप्त पहुंच की आवश्यकता नहीं होती है।
Applications utilizing @fastify/static versions 8.0.0 through 9.1.0 with directory listing enabled are at risk. This includes Node.js applications serving static assets, particularly those deployed in production environments where security is paramount. Shared hosting environments using this plugin are also at increased risk due to the potential for cross-tenant exploitation.
• nodejs / server:
find / -name "@fastify/static" -exec grep -i 'dirList.path()' {} + | grep -i 'path.join()' • nodejs / server:
ps aux | grep -i '@fastify/static' | grep -i 'list: true'• generic web:
Use curl or wget to check for directory listing endpoints (e.g., /static/). A successful listing indicates potential exposure.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.02% (6% शतमक)
CISA SSVC
CVSS वेक्टर
अनुशंसित समाधान @fastify/static निर्भरता को संस्करण 9.1.1 या उच्चतर में अपग्रेड करना है। यह संस्करण dirList.path() फ़ंक्शन के भीतर उचित नियंत्रण जांच को लागू करके इस भेद्यता को ठीक करता है, जिससे कॉन्फ़िगर किए गए रूट निर्देशिका के बाहर निर्देशिकाओं को हल करने से रोका जा सकता है। उत्पादन वातावरण में तत्काल अपग्रेड की सिफारिश की जाती है। वैकल्पिक रूप से, यदि तत्काल अपग्रेड संभव नहीं है, तो @fastify/static में 'list' विकल्प को अक्षम करना एक अस्थायी शमन है, हालांकि यह निर्देशिका सूची कार्यक्षमता को सीमित करेगा।
Actualice el paquete @fastify/static a la versión 9.1.1 o superior para solucionar la vulnerabilidad de path traversal. Como alternativa, desactive el listado de directorios eliminando la opción 'list' de la configuración del plugin.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
'Path traversal' एक प्रकार की सुरक्षा भेद्यता है जो एक हमलावर को एप्लिकेशन के इच्छित रूट निर्देशिका के बाहर फ़ाइलों या निर्देशिकाओं तक पहुंचने की अनुमति देती है।
हाँ, यह भेद्यता प्रभावित संस्करणों में @fastify/static का उपयोग करने और 'list' विकल्प सक्षम करने वाले सभी वातावरणों को प्रभावित करती है।
एक अस्थायी शमन के रूप में, @fastify/static में 'list' विकल्प को अक्षम करें। हालाँकि, यह निर्देशिका सूची कार्यक्षमता को सीमित कर देगा।
स्थिर और गतिशील सुरक्षा विश्लेषण उपकरण इस भेद्यता का पता लगा सकते हैं। अपग्रेड के बाद पूरी सुरक्षा स्कैन की सिफारिश की जाती है।
आप कमांड लाइन में npm list @fastify/static कमांड का उपयोग करके संस्करण की जांच कर सकते हैं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।