@fastify/middie vulnerável a bypass de autenticação de middleware em escopos de plugin filho

CVE-2026-6270 afeta as versões 9.3.1 e anteriores de @fastify/middie. A vulnerabilidade reside na manipulação incorreta dos caminhos dos middlewares ao propagá-los para os escopos de plugins filhos. Quando um plugin filho é registrado com um prefixo que se sobrepõe a um caminho de middleware com escopo pai, o caminho do middleware é modificado silenciosamente, impedindo que corresponda às solicitações recebidas. Isso resulta em uma contorna completa dos controles de segurança do middleware para todas as rotas definidas dentro dos escopos de plugin filho afetados, incluindo escopos aninhados (netos). A falta de correspondência dos caminhos de middleware pode levar à exposição de dados confidenciais ou à execução de código não autorizado.

Applications built with Node.js and utilizing @fastify/middie for middleware management are at risk. This includes applications with complex plugin architectures and those relying heavily on middleware for security enforcement. Shared hosting environments where multiple applications share the same Node.js instance are particularly vulnerable, as a compromise in one application could potentially affect others.

• nodejs / server:

  npm list @fastify/middie

Check for versions prior to 9.3.2. • nodejs / server:

  npm audit @fastify/middie

Run an npm audit to identify the vulnerability. • generic web: Review application logs for unusual request patterns or errors related to middleware execution, particularly within child plugin scopes.

1. 2026-04-16Disclosure

   disclosure

1. Reservado2026-04-14
2. Publicada2026-04-16
3. EPSS atualizado2026-04-24

A mitigação principal é atualizar para a versão 9.3.2 ou superior de @fastify/middie. Esta versão corrige o problema, tratando corretamente os caminhos de middleware ao propagá-los para os escopos de plugin filho. Se a atualização imediata não for possível, revise cuidadosamente a configuração dos plugins filhos para garantir que não haja sobreposições de prefixos de caminhos de middleware. Recomenda-se também realizar testes de segurança abrangentes após qualquer alteração na configuração dos plugins.