CVE-2026-33011
Publiée le 2026-03-20 · Dernière modification le 2026-06-17
Les applications Node.js conçues avec NestJS utilisant la plateforme Fastify sont concernées si elles s'appuient sur des middlewares GET pour des contrôles de sécurité ou de logique. Un attaquant distant non authentifié peut contourner ce middleware en envoyant une requête HEAD au lieu d'une requête GET, lui permettant ainsi de déclencher le gestionnaire sous-jacent sans être bloqué par les filtres prévus. Comme cela ne nécessite qu'un accès réseau basique et aucune interaction de l'utilisateur, l'exécution est triviale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Nest is a framework for building scalable Node.js server-side applications. In versions 11.1.15 and below, a NestJS application using @nestjs/platform-fastify GET middleware can be bypassed because Fastify automatically redirects HEAD requests to the corresponding GET handlers (if they exist). As a result: middleware will be completely skipped, the HTTP response won't include a body (since the response is truncated when redirecting a HEAD request to a GET handler), and the actual handler will still be executed. This issue is fixed in version 11.1.16.