CVE-2026-112712
Publiée le 2026-10-20 · Dernière modification le 2026-10-22
Les versions 9.0.0 à 9.3.5 de @fastify/middie permettent aux serveurs Fastify de prendre en charge les middlewares de type Express. Un défaut dans la manière dont la fonction `use()` joint les chemins de montage aux préfixes de plugins peut entraîner un décalage entre le chemin du middleware et celui du routeur. Cela se produit fréquemment lorsque les préfixes se terminent par un slash ou lorsque les chemins de montage n'ont pas de slash initial, ce qui conduit à l'omission silencieuse du middleware.
Un attaquant peut contourner des couches de sécurité critiques, telles que l'authentification, l'autorisation ou la limitation du débit, en envoyant une requête spécialement conçue. Cela compromet à la fois la confidentialité et l'intégrité en accordant un accès non autorisé à des routes protégées. L'exploitation est facile à réaliser car elle ne nécessite qu'un accès réseau, sans authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/middie is the Express-style middleware engine for Fastify. In versions from 9.0.0 through 9.3.5, the use() function joined a path-scoped middleware's mount path to the plugin scope prefix in a way that could diverge from the path Fastify's router serves, most often when the scope prefix ended in a slash, and also for array mount paths and for mount paths written without a leading slash. When the two paths disagreed, the middleware was silently skipped while the route handler still ran, so path-scoped middleware such as authentication, authorization, or rate limiting could be bypassed by a single unauthenticated request. The issue is fixed in @fastify/middie 9.3.6, and users should upgrade to 9.3.6 or later. As a workaround, enforce authorization in a Fastify hook such as preHandler that runs after the router has resolved the request.