CVE-2026-112362

要約

@fastify/express のバージョン 4.0.5 から 4.0.8 では、デフォルトでない ignoreDuplicateSlashes オプションを有効にして Fastify を実行すると、絶対形式のリクエストターゲットのスキーム後の区切りも重複スラッシュの正規化で潰されます。その結果、Fastify のルーターはリクエストをスコープ付きパスに解決してハンドラーを実行しますが、Express 層はそのパスを認識しません。この問題は @fastify/express 4.0.9 で修正されており、回避策として、ルーター解決後に実行される preHandler などの Fastify フックで認証を行うか、ignoreDuplicateSlashes をデフォルトのままにする方法が示されています。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

FastifyExpress

このタグの新着を RSS で受け取る: Fastify / Express(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る