CVE-2026-15074
Açıklama
@fastify/static 10.1.0 ve önceki sürümleri, dosya çözümleme aşamasından önce istek yol adlarındaki dot-dot (nokta nokta) yol bölümlerini reddetmemektedir. Bu durum, yalnızca kodlanmış ileri eğik çizgileri kapsayan CVE-2026-6414 için yapılan önceki düzeltmenin atlatılmasıdır. Alttaki send kütüphanesi, kendi yol geçiş korumasını uygulamadan önce nokta bölümlerini normalize ettiği için, kimliği doğrulanmamış bir saldırgan herhangi bir rota kapsamlı ara yazılımı atlayabilir ve korumalı URL ön eki altında bulunan statik kök dizindeki dosyaları okuyabilir. Bu atlatma işlemi tek başına yapılandırılmış statik kökün dışına erişime izin vermez, yalnızca rota koruma filtrelemesini etkisiz hale getirir. Sorun @fastify/static 10.1.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- @fastify/static10.1.1 ya da sonraki bir sürüm
- fastify fastify-static10.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fastify/staticnpm | v < 10.1.1 | 10.1.1 |
| fastify fastify-static | v < 10.1.1 | 10.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.