CVE-2026-33808
Açıklama
Etki: @fastify/express v4.0.4 ve önceki sürümleri, Fastify yönlendirici normalleştirme seçenekleri etkin olduğunda, URL'leri Express ara yazılımına aktarmadan önce normalleştirmeyi başaramaz. Bu durum; ignoreDuplicateSlashes etkin olduğunda çift eğik çizgiler veya useSemicolonDelimiter etkin olduğunda noktalı virgül ayırıcıları aracılığıyla, yol kapsamlı kimlik doğrulama ara yazılımının tamamen atlatılmasına olanak tanır. Her iki durumda da Fastify yönlendiricisi URL'yi normalleştirir ve rotayla eşleştirir, ancak @fastify/express orijinal normalleştirilmemiş URL'yi Express ara yazılımına iletir; bu da eşleşmenin başarısız olmasına ve ara yazılımın atlanmasına neden olur. Kimliği doğrulanmamış bir saldırgan, URL yolunu manipüle ederek korumalı rotalara erişebilir. Yamalar: @fastify/express v4.0.5 veya daha yeni bir sürüme yükseltin.
Nasıl düzeltilir
- @fastify/express4.0.5 ya da sonraki bir sürüm
- fastify fastify\/express4.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fastify/expressnpm | v < 4.0.5 | 4.0.5 |
| fastify fastify\/express | v < 4.0.5 | 4.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.