CVE-2026-22037

@fastify/express eklentisi, Fastify'a tam Express uyumluluğu ekler. @fastify/express sürüm 4.0.3 öncesinde, belirli bir yol ön ekiyle kaydedilen ara katman yazılımlarının (middleware), URL ile kodlanmış karakterler kullanılarak (örneğin, `/admin` yerine `/%61dmin`) atlatılabildiği bir güvenlik zafiyeti bulunmaktadır. Ara katman yazılımı motoru kodlanmış yolu eşleştiremeyip yürütmeyi atlarken, temel Fastify yönlendiricisi yolu doğru şekilde çözer ve rota işleyicisiyle eşleştirir; bu durum saldırganların korumalı uç noktalara ara katman yazılımı kısıtlamaları olmadan erişmesine olanak tanır. Zafiyet, @fastify/express'in istekleri kayıtlı ara katman yazılımı yollarıyla nasıl eşleştirdiğinden kaynaklanmaktadır. Bu zafiyet, farklı bir kod yapısına sahip ayrı bir npm modülü olduğu için CVE-2026-22031 ile benzerdir ancak ondan farklıdır. @fastify/express sürüm 4.0.3, sorun için bir yama içermektedir.