CVE-2026-7120
Publiée le 2026-07-23 · Dernière modification le 2026-07-28
Les serveurs utilisant le plugin `@fastify/static` (versions 10.1.1 et antérieures) sont sensibles à un contournement du filtrage des chemins. Un attaquant non authentifié disposant d'un accès réseau peut utiliser des URL spécialement conçues, contenant des séparateurs en double ou des segments de points, pour accéder à des fichiers que vous aviez prévu de bloquer via le paramètre `allowedPath`. Cela ne permet pas d'accéder à des fichiers situés en dehors du répertoire racine statique, mais cela neutralise toutes les restrictions spécifiques au niveau des fichiers que vous avez configurées.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@fastify/static evaluates the allowedPath callback before normalizing dot segments and duplicate path separators in the pathname used for file resolution. Versions up to and including 10.1.1 are affected. An unauthenticated attacker can bypass allowedPath restrictions by requesting equivalent non-canonical pathnames, causing files that were intended to be denied to be served anyway. The bypass does not allow access outside the configured static root by itself, it defeats path-based filtering only. The issue is patched in @fastify/static 10.1.2.