@fastify/middie は、子プラグインスコープ内でミドルウェア認証バイパスの脆弱性があります

CVE-2026-6270 は、@fastify/middie のバージョン 9.3.1 以前に影響します。この脆弱性は、子プラグインスコープにミドルウェアパスを伝播する際に、ミドルウェアパスが誤って再プレフィックスされることにあります。子プラグインが、親スコープのミドルウェアパスと重複するプレフィックスで登録されると、ミドルウェアパスが静かに変更され、受信リクエストとの一致が妨げられます。これにより、影響を受ける子プラグインスコープ内の定義されたすべてのルート（ネストされた（孫）スコープを含む）のミドルウェアセキュリティコントロールが完全にバイパスされます。ミドルウェアパスの一致の失敗は、機密データの漏洩や不正なコードの実行につながる可能性があります。

Applications built with Node.js and utilizing @fastify/middie for middleware management are at risk. This includes applications with complex plugin architectures and those relying heavily on middleware for security enforcement. Shared hosting environments where multiple applications share the same Node.js instance are particularly vulnerable, as a compromise in one application could potentially affect others.

• nodejs / server:

  npm list @fastify/middie

Check for versions prior to 9.3.2. • nodejs / server:

  npm audit @fastify/middie

Run an npm audit to identify the vulnerability. • generic web: Review application logs for unusual request patterns or errors related to middleware execution, particularly within child plugin scopes.

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-14
2. 公開日2026-04-16
3. EPSS 更新日2026-04-24

主な軽減策は、@fastify/middie をバージョン 9.3.2 以降にアップグレードすることです。このバージョンは、子プラグインスコープにミドルウェアパスを伝播する際に、ミドルウェアパスを適切に処理することで問題を修正します。即時のアップグレードが不可能な場合は、子プラグインの構成を注意深く確認し、ミドルウェアパスプレフィックスの重複がないことを確認してください。また、プラグイン構成の変更後には、徹底的なセキュリティテストを実施することをお勧めします。