CVE-2026-90982

@fastify/static, yapılandırılmış bir kök dizinden statik dosyalar sunan bir Fastify eklentisidir. 10.1.4 öncesindeki sürümlerde, Windows veya varsayılan macOS birimi gibi büyük/küçük harf duyarsız bir dosya sisteminde, bir yol segmentinin harf kasası değiştirilerek rota koruması (route guard) veya allowedPath kısıtlaması atlatılabilir. Rota eşleştiricisi büyük/küçük harfe duyarlıyken dosya sistemi değildir; bu nedenle, korunan bir segmentin kasasını değiştiren bir istek, korunan rotayla eşleşmez ve statik işleyiciye aktarılır, ancak dosya sistemi bunu aynı korunan dosyaya çözer. Sonuç olarak, kimliği doğrulanmamış bir istek, bir rota korumasının veya allowedPath'in korumak için yapılandırıldığı bir dosyayı okuyabilir. Bu sorun, büyük/küçük harfe duyarlı dosya sistemlerini etkilemez ve yapılandırılmış kökün dışından hiçbir şey sunulmadığı için bir dizin gezginliği (directory traversal) değildir. Sorun, istenen yolu diskteki gerçek yazımıyla doğrulayan ve yetkilendirmeden önce kasa takma adlı yolları reddeden @fastify/static 10.1.4 sürümünde düzeltilmiştir. Geçici bir çözüm olarak, statik dosyaları büyük/küçük harfe duyarlı bir dosya sisteminden sunun veya rota korumalarının ve allowedPath kurallarının, korunan yolların her harf kasası varyasyonunu kapsadığından emin olun.