CVE-2026-112362

@fastify/express, Fastify daxilində Express middleware-lərini işlədən bir Fastify plaginidir. 4.0.5 və 4.0.8 versiyaları arasında, Fastify standart olmayan ignoreDuplicateSlashes seçimi aktiv edilmiş halda işlədikdə, plagin yol-əhatəli (path-scoped) Express middleware-lərini elə bir URL ilə uyğunlaşdırır ki, burada təkrar slash normalizasiyası mütləq formalı sorğu hədəfinin sxemindən sonrakı ayırıcını da birləşdirmiş olur. Nəticədə, Fastify-ın marşrutlayıcısı (router) sorğunu əhatəli yola yönləndirir və handler-i işə salır, lakin Express təbəqəsi artıq həmin yolu görmür. Bunun nəticəsində, mütləq formalı hədəfdən istifadə edən sorğu autentifikasiya, avtorizasiya və ya sürət məhdudiyyəti (rate limiting) üçün olan middleware-ləri ötürərək admin yolu kimi əhatəli marşrutdakı handler-ə çata bilər. Autentifikasiya olunmamış hücumçu üçün yalnız standart olmayan ignoreDuplicateSlashes seçiminin aktiv olması kifayətdir. Problem @fastify/express 4.0.9 versiyasında düzəldilib və istifadəçilər 4.0.9 və ya daha yeni versiyaya yüksəltmə etməlidirlər. Müvəqqəti həll yolu kimi, marşrutlayıcı sorğunu həll etdikdən sonra işləyən preHandler kimi Fastify hook-unda autentifikasiyanı təmin edin və ya ignoreDuplicateSlashes seçimini standart dəyərində saxlayın.