CVE-2026-7120
Təsvir
@fastify/static faylın təyin edilməsi üçün istifadə olunan pathname-də nöqtə seqmentləri və təkrar yol ayırıcılarını normallaşdırmazdan əvvəl allowedPath callback funksiyasını qiymətləndirir. 10.1.1 daxil olmaqla daha aşağı versiyalar bu problemdən təsirlənib. Autentifikasiya olunmamış hücumçu ekvivalent qeyri-kanonik pathname-ləri sorğu edərək allowedPath məhdudiyyətlərini yan keçə bilər ki, bu da rədd edilməli olan faylların yenə də təqdim edilməsinə səbəb olur. Bu yan keçmə özlüyündə konfiqurasiya edilmiş statik kök qovluğundan kənara çıxmağa imkan vermir, yalnız yol əsaslı filtrləməni sıradan çıxarır. Problem @fastify/static 10.1.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- @fastify/static10.1.2 və ya daha yeni versiya
- fastify fastify-static10.1.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @fastify/staticnpm | v < 10.1.2 | 10.1.2 |
| fastify fastify-static | v < 10.1.2 | 10.1.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.