@fastify/static は、エンコードされたパスセパレータによるルートガードのバイパスに対して脆弱

CVE-2026-6414 は、@fastify/static (バージョン 9.1.0 以前) において、ルートベースのアクセス制御を回避することを可能にします。この問題は、@fastify/static がファイルシステム解決前にパーセントエンコードされたパスセパレーター (%2F) をデコードするのに対し、Fastify のルーターはそれらをリテラル文字として扱うことに起因します。これにより、ルーティングの不一致が生じます。/admin/* のようなルートガードは /admin%2Fsecret.html に一致せず、@fastify/static はこれを /admin/secret.html にデコードしてファイルをサーブします。@fastify/static によって提供されるファイルをルートベースのミドルウェアまたはガードで保護するアプリケーションは、このエンコードされたパスを使用して回避できる可能性があります。

Applications built with Node.js that utilize @fastify/static for serving static files and rely on route-based middleware or guards to protect those files are at risk. This includes applications with custom route guards or those leveraging Fastify's built-in middleware for access control. Shared hosting environments where multiple applications share the same server and file system are particularly vulnerable.

• nodejs / server:

  npm list @fastify/static

• nodejs / server:

  npm audit @fastify/static

• nodejs / server: Check application logs for requests containing percent-encoded path separators (e.g., %2F) accessing files within protected directories.

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-15
2. 公開日2026-04-16
3. EPSS 更新日2026-04-24

解決策は、@fastify/static をバージョン 9.1.1 以降にアップグレードすることです。このバージョンは、Fastify のルーターと一貫してパーセントエンコードされたパスセパレーターを処理することで、この脆弱性を修正します。その間、一時的な対策として、ルーターによって保護されているように見える場合でも、機密ファイルへのアクセスを検証および制限するために、アプリケーションレベルで追加のアクセス制御を実装することをお勧めします。@fastify/static のデフォルトの動作だけに依存せず、堅牢なルート構成と保護を慎重に確認することが重要です。