CVE-2026-18427

@fastify/static-in 10.1.3 versiyasından əvvəlki versiyaları əvvəlki marşrut mühafizəsinin yan keçilməsi (route guard bypass) üçün natamam düzəliş ehtiva edir. Statik fayl idarəedicisi yalnız valideyn kataloq seqmentlərini rədd etmişdir, lakin marşrut uyğunlaşdırılmasından və 'send' təbəqəsinə ötürülməzdən əvvəl nöqtə seqmentlərini, təkrarlaşan slash işarələrini, kodlaşdırılmış nöqtələri və ya geri slash-ləri kanonikləşdirməmişdir. Nəticədə, autentifikasiya olunmamış hücumçu, marşruta əsaslanan mühafizə ilə qorunan faylı, həmin marşrutu yan keçən lakin yenidən qorunan fayla yönələn qeyri-kanonik yol forması vasitəsilə tələb edərək onun məzmununu ifşa edə bilərdi. Statik kök dizinin alt ağacını marşruta əsaslanan mühafizə ilə qoruyan tətbiqlər bundan təsirlənir, 'allowedPath' seçimindən istifadə edən tətbiqlər isə təsirlənmir. Bu problem @fastify/static 10.1.3 versiyasında düzəldilmişdir; bu versiya marşrutlaşdırma və xidmət göstərmə üçün istifadə olunan yolda, geri slash-lərin rədd edilməsi də daxil olmaqla, yolu kanonikləşdirir.