CVE-2026-120213

要約

@fastify/http-proxy のバージョン 9.0.0 から 11.6.5 では、パラメータ付きの prefix と rewritePrefix を使う場合に、URLデコードされたルートパラメータが再エンコードされないまま rewritePrefix に埋め込まれる。そのため、パス区切り文字とフラグメントやクエリの区切り文字をエンコードした値が実際の区切り文字になり、上流のパスセグメントが追加されて、rewritePrefix が強制するはずの末尾部分が取り除かれる。この問題は @fastify/http-proxy 11.6.6 で修正されており、回避策はアップグレード以外にない。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

Fastify

このタグの新着を RSS で受け取る: Fastify(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る