CVE-2026-7120
Açıklama
@fastify/static, dosya çözünürlüğü için kullanılan pathname içindeki nokta bölümlerini ve yinelenen yol ayırıcılarını normalize etmeden önce allowedPath geri çağırma işlemini değerlendirmektedir. 10.1.1 dahil önceki sürümler etkilenmektedir. Kimliği doğrulanmamış bir saldırgan, eşdeğer kanonik olmayan pathname'ler talep ederek allowedPath kısıtlamalarını atlayabilir ve bu durum erişimi engellenmek istenen dosyaların yine de sunulmasına neden olabilir. Bu atlama işlemi tek başına yapılandırılmış statik kök dizinin dışına erişime izin vermez, yalnızca yol tabanlı filtrelemeyi etkisiz hale getirir. Sorun @fastify/static 10.1.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- @fastify/static10.1.2 ya da sonraki bir sürüm
- fastify fastify-static10.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fastify/staticnpm | v < 10.1.2 | 10.1.2 |
| fastify fastify-static | v < 10.1.2 | 10.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.