CVE-2026-120213
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 9.0.0 à 11.6.5 de `@fastify/http-proxy` sont concernées. Ce plugin est utilisé par les applications Fastify pour rediriger les requêtes HTTP vers un serveur backend. La faille survient lorsque le plugin gère les paramètres de route ; il ne parvient pas à ré-encoder ces valeurs avant de les insérer dans le chemin de réécriture, ce qui permet à des caractères spéciaux d'être interprétés comme de véritables délimiteurs de chemin.
Un attaquant distant non authentifié peut exploiter cette vulnérabilité en envoyant une URL spécialement conçue pour contourner les restrictions de chemin prévues. Cela lui permet d'accéder à des zones restreintes du serveur backend, pouvant mener à une falsification de requête côté serveur (SSRF) ou au contournement des contrôles d'autorisation. Comme elle ne nécessite ni authentification ni interaction de l'utilisateur, l'attaque est relativement facile à exécuter via un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/http-proxy is a Fastify plugin that proxies HTTP requests to an upstream server under a configured prefix. In versions 9.0.0 through 11.6.5, when an application uses parameterized prefix and rewritePrefix options to pin clients to a fixed upstream path, the plugin substitutes URL-decoded route parameters into rewritePrefix without re-encoding them. A parameter value that encodes a path separator together with a fragment or query delimiter therefore decodes into real separators and delimiters that inject extra upstream path segments and strip the mandatory suffix the rewritePrefix was meant to enforce, without using any dot-dot traversal. An unauthenticated remote attacker can use this to reach upstream locations outside the intended prefix, leading to path-restriction bypass and, depending on the upstream, server-side request forgery or authorization bypass in the proxied service. The issue is fixed in @fastify/http-proxy 11.6.6, and users should upgrade to 11.6.6 or later. There is no workaround other than upgrading.