@fastify/static vulnerable to route guard bypass via encoded path separators

CVE-2026-6414 @fastify/static (संस्करण 9.1.0 और पहले) में रूट-आधारित एक्सेस नियंत्रण को बाईपास करने की अनुमति देता है। समस्या यह है कि @fastify/static फ़ाइल सिस्टम रिज़ॉल्यूशन से पहले प्रतिशत-एन्कोडेड पाथ सेपरेटर (%2F) को डिकोड करता है, जबकि Fastify का राउटर उन्हें शाब्दिक वर्णों के रूप में मानता है। इससे रूटिंग में मिसमैच होता है: उदाहरण के लिए, /admin/* जैसे रूट गार्ड /admin%2Fsecret.html से मेल नहीं खाते हैं, लेकिन @fastify/static इसे /admin/secret.html में डिकोड करता है और फ़ाइल को सर्व करता है। @fastify/static द्वारा सर्व की जाने वाली फ़ाइलों को रूट-आधारित मिडलवेयर या गार्ड से सुरक्षित रखने वाले एप्लिकेशन इस एन्कोडेड पाथ का उपयोग करके बाईपास किए जा सकते हैं।

Applications built with Node.js that utilize @fastify/static for serving static files and rely on route-based middleware or guards to protect those files are at risk. This includes applications with custom route guards or those leveraging Fastify's built-in middleware for access control. Shared hosting environments where multiple applications share the same server and file system are particularly vulnerable.

• nodejs / server:

  npm list @fastify/static

• nodejs / server:

  npm audit @fastify/static

• nodejs / server: Check application logs for requests containing percent-encoded path separators (e.g., %2F) accessing files within protected directories.

1. 2026-04-16Disclosure

   disclosure

1. आरक्षित2026-04-15
2. प्रकाशित2026-04-16
3. EPSS अद्यतन2026-04-24

समाधान @fastify/static को संस्करण 9.1.1 या उच्चतर में अपग्रेड करना है। यह संस्करण Fastify के राउटर के साथ लगातार प्रतिशत-एन्कोडेड पाथ सेपरेटर को हैंडल करके इस भेद्यता को ठीक करता है। इस बीच, एक अस्थायी उपाय के रूप में, संवेदनशील फ़ाइलों तक पहुंच को मान्य और प्रतिबंधित करने के लिए एप्लिकेशन स्तर पर अतिरिक्त एक्सेस नियंत्रण लागू करें, भले ही रूट राउटर द्वारा संरक्षित प्रतीत हो। @fastify/static के डिफ़ॉल्ट व्यवहार पर पूरी तरह निर्भर न रहकर रूट कॉन्फ़िगरेशन और सुरक्षा की सावधानीपूर्वक समीक्षा करना महत्वपूर्ण है।