FICHE CVE

CVE-2026-33804

Publiée le 2026-04-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant `@fastify/middie` (version 9.3.1 ou antérieure) sont vulnérables si l'option obsolète `ignoreDuplicateSlashes` est activée. Un attaquant distant non authentifié peut contourner les middlewares de sécurité, tels que les vérifications d'authentification ou d'autorisation, en insérant des doubles barres obliques dans l'URL de la requête. Bien que cela nécessite une configuration spécifique du serveur pour fonctionner, l'attaque peut être exécutée via le réseau sans aucune interaction de l'utilisateur.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

CWE-436

Publiée2026-04-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

@fastify/middie versions 9.3.1 and earlier are vulnerable to middleware bypass when the deprecated Fastify ignoreDuplicateSlashes option is enabled. The middleware path matching logic does not account for duplicate slash normalization performed by Fastify's router, allowing requests with duplicate slashes to bypass middleware authentication and authorization checks. This only affects applications using the deprecated ignoreDuplicateSlashes option. Upgrade to @fastify/middie 9.3.2 to fix this issue. There are no workarounds other than disabling the ignoreDuplicateSlashes option.