@fastify/static バージョン 8.0.0 から 9.1.0 までのバージョンにおいて、list オプションを有効にするとパス・トラバーサルが発生します。dirList.path() 関数は、設定された静的ルート外のディレクトリを path.join() を使用して解決しますが、包含チェックが行われていません。リモートの認証されていない攻撃者は、Node.js プロセスからアクセス可能な任意のディレクトリのディレクトリ一覧を取得でき、ディレクトリ名とファイル名を公開する可能性があります。ファイルの内容は公開されません。この問題を修正するには、@fastify/static 9.1.1 にアップグレードしてください。A

CVE-2026-6410 は @fastify/static のバージョン 8.0.0 から 9.1.0 までに影響を与えます。これにより、認証されていないリモート攻撃者が、Node.js プロセスからアクセス可能な任意のディレクトリのディレクトリリストを取得できるようになります。これは、dirList.path() 関数内の欠陥によるもので、適切なコンテインメント チェックなしに path.join() を使用してディレクトリを解決します。ファイルの内容は開示されませんが、ディレクトリとファイル名の公開は、アプリケーションの構造に関する機密情報を収集し、さらなる攻撃を容易にするために使用される可能性があります。CVSS の深刻度は 5.3 であり、迅速な対応を必要とする中程度のリスクを示しています。

Applications utilizing @fastify/static versions 8.0.0 through 9.1.0 with directory listing enabled are at risk. This includes Node.js applications serving static assets, particularly those deployed in production environments where security is paramount. Shared hosting environments using this plugin are also at increased risk due to the potential for cross-tenant exploitation.

• nodejs / server:

find / -name "@fastify/static" -exec grep -i 'dirList.path()' {} + | grep -i 'path.join()' 

• nodejs / server:

ps aux | grep -i '@fastify/static' | grep -i 'list: true'

• generic web: Use curl or wget to check for directory listing endpoints (e.g., /static/). A successful listing indicates potential exposure.

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-15
2. 公開日2026-04-16
3. 更新日2026-04-17
4. EPSS 更新日2026-04-24

推奨される解決策は、@fastify/static の依存関係をバージョン 9.1.1 以降にアップグレードすることです。このバージョンは、dirList.path() 関数内で適切なコンテインメント チェックを実装することで、この脆弱性を修正します。これにより、構成されたルートディレクトリ外のディレクトリの解決が防止されます。特に本番環境では、迅速なアップグレードをお勧めします。また、直ちにアップグレードできない場合は、@fastify/static の 'list' オプションを無効にすると、一時的な軽減策となりますが、これによりディレクトリリスト機能が制限されます。