CVE-2026-18427

@fastify/static sürüm 10.1.3 öncesi, önceki bir rota koruması atlatma (route guard bypass) hatası için eksik bir düzeltme içermektedir. Statik dosya işleyicisi yalnızca üst dizin bölümlerini reddetmekte ancak rota eşleşmesinden ve send katmanına devretmeden önce nokta bölümlerini, yinelenen eğik çizgileri, kodlanmış noktaları veya ters eğik çizgileri kanonik hale getirmemektedir. Sonuç olarak, kimliği doğrulanmamış bir saldırgan, korunan rotayı atlayan ancak yine de korunan dosyaya çözümlenen kanonik olmayan bir yol formu kullanarak, rota tabanlı bir koruma ile korunan bir dosyayı talep edebilir ve içeriğini ifşa edebilir. Statik kökün bir alt ağacını rota tabanlı bir koruma ile koruyan uygulamalar etkilenirken, allowedPath seçeneğine güvenen uygulamalar etkilenmemektedir. Bu durum, yönlendirme ve sunum için kullanılan yol üzerindeki ters eğik çizgilerin reddedilmesi dahil olmak üzere yol adını kanonik hale getiren @fastify/static 10.1.3 sürümünde düzeltilmiştir.