CVE-2026-120214
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 11.6.0 à 11.6.2 de @fastify/http-proxy sont concernées. Ce plugin est utilisé dans les applications Fastify pour rediriger les requêtes HTTP vers un serveur amont sous un préfixe de chemin spécifique. La faille provient du fait que le plugin valide les chemins avant d'avoir entièrement décodé les caractères encodés en pourcentage, permettant ainsi à des antislashs et des segments de points spécialement conçus de contourner les contrôles de sécurité.
Un attaquant distant non authentifié peut utiliser cette faille pour accéder à des fichiers ou à des points de terminaison d'API sur le serveur amont qui se situent en dehors du préfixe de proxy prévu. Cela impacte la confidentialité, car cela permet la récupération de ressources non autorisées, bien que cela ne permette ni la modification de données ni le plantage du système. L'exploitation est difficile car elle nécessite que le serveur amont soit hébergé sur une plateforme qui traite les antislashs comme des séparateurs de chemin.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/http-proxy is a Fastify plugin that proxies HTTP requests to an upstream server under a configured prefix. In versions 11.6.0 through 11.6.2, the destination validation normalizes literal backslashes before it percent-decodes the request path, so a path that encodes its backslashes and dot-segments survives the dot-segment check and is only turned into backslash and double-dot sequences after that check has passed. When the upstream resolves on a platform that treats a backslash as a path separator, the forwarded request walks out of the configured proxy prefix and reaches a sibling location on the upstream. An unauthenticated remote attacker can use this to retrieve upstream resources outside the intended prefix, so the impact is confidentiality only, and exploitation depends on the upstream's path handling. The issue is fixed in @fastify/http-proxy 11.6.3, and users should upgrade to 11.6.3 or later. This is a follow-up to the earlier prefix-escape fix, which did not account for the encoded-backslash form.