CVE-2026-90982

@fastify/static konfiqurasiya edilmiş kök kataloqdan statik faylları təmin edən bir Fastify plaginidir. 10.1.4 versiyasından əvvəlki versiyalarda, Windows və ya standart macOS diski kimi böyük-kiçik hərflərə həssas olmayan fayl sistemlərində, yol seqmentinin hərflərinin registri dəyişdirilərək marşrut mühafizəçisindən (route guard) və ya allowedPath məhdudiyyətindən yan keçmək mümkündür. Marşrut uyğunlaşdırıcısı böyük-kiçik hərflərə həssas olduğu halda, fayl sistemi belə deyil; buna görə də qorunan seqmentin registrini dəyişən sorğu mühafizə olunan marşruta uyğun gəlmir və statik idarəediciyə yönəlir, lakin fayl sistemi onu eyni qorunan fayla yönləndirir. Nəticədə, autentifikasiya olunmamış sorğu marşrut mühafizəçisi və ya allowedPath tərəfindən qorunması nəzərdə tutulmuş faylı oxuya bilər. Bu problem böyük-kiçik hərflərə həssas olan fayl sistemlərinə təsir etmir və kataloqdan kənara çıxma (directory traversal) problemi deyil, çünki konfiqurasiya edilmiş kökdən kənarda heç bir şey təqdim edilmir. Problem, sorğu edilən yolu diskdəki faktiki yazılışı ilə yoxlayan və avtorizasiyadan əvvəl fərqli registrlə yazılmış yolları rədd edən @fastify/static 10.1.4 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi, statik faylları böyük-kiçik hərflərə həssas fayl sistemindən təmin edin və ya marşrut mühafizəçiləri və allowedPath qaydalarının qorunan yolların bütün registr variantlarını nəzərə aldığından əmin olun.