Към съдържанието
Търсене

CVE-2026-85124: @fastify/http-proxy, обхождане на път

7.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

@fastify/http-proxy versions before 11.6.2 do not validate proxied HTTP request paths for backslash based dot-segments before forwarding them to the configured upstream. The plain HTTP request handler skips the destination validation that the WebSocket path performs, and the underlying reply-from library only rejects forward-slash traversal, so a request containing backslash dot-segments can escape the boundary set by the prefix and rewritePrefix options. An unauthenticated network attacker can use this to reach upstream paths that were meant to stay hidden behind the proxy, resulting in disclosure of internal endpoints. This is a path traversal issue (CWE-22). Users should upgrade to @fastify/http-proxy 11.6.2 or later.

Засегнати продукти

  • @fastify/http-proxy @fastify/http-proxy: преди 11.6.2; 11.6.2

Вид слабост

История

  • 3 септември 2026 Публикувано

Други уязвимости в @fastify/http-proxy @fastify/http-proxy

Първоизточници

CVE-2026-85124: @fastify/http-proxy, обхождане на път | freedomonline.bg