@fastify/static 易受编码路径分隔符绕过路由保护的影响

CVE-2026-6414 在 @fastify/static (9.1.0 及更早版本) 中允许绕过基于路由的访问控制。问题在于 @fastify/static 在文件系统解析之前解码百分号编码的路径分隔符 (%2F)，而 Fastify 的路由器将它们视为字面字符。这导致路由不匹配：例如，/admin/* 这样的路由守卫不会匹配 /admin%2Fsecret.html，但 @fastify/static 会将其解码为 /admin/secret.html 并提供该文件。依赖于基于路由的中间件或守卫来保护 @fastify/static 提供的文件，可以使用编码的路径绕过此限制。

Applications built with Node.js that utilize @fastify/static for serving static files and rely on route-based middleware or guards to protect those files are at risk. This includes applications with custom route guards or those leveraging Fastify's built-in middleware for access control. Shared hosting environments where multiple applications share the same server and file system are particularly vulnerable.

• nodejs / server:

  npm list @fastify/static

• nodejs / server:

  npm audit @fastify/static

• nodejs / server: Check application logs for requests containing percent-encoded path separators (e.g., %2F) accessing files within protected directories.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2026-04-15
2. 发布日期2026-04-16
3. EPSS 更新日期2026-04-24

解决方案是将 @fastify/static 升级到 9.1.1 或更高版本。此版本通过以与 Fastify 路由器一致的方式处理百分号编码的路径分隔符来修复此漏洞。在此期间，作为临时措施，请在应用程序级别实施额外的访问控制，以验证和限制对敏感文件的访问，即使该路由似乎受到路由器保护。仔细审查路由配置和保护，以确保其稳健且不完全依赖 @fastify/static 的默认行为。