Dans @fastify/express 4.0.5 à 4.0.8, une requête HTTP en forme absolue, combinée à l’option Fastify ignoreDuplicateSlashes, peut faire exécuter une route protégée sans que le middleware Express associé soit appelé. Un attaquant non authentifié peut ainsi contourner des contrôles d’authentification, d’autorisation ou de limitation de débit fondés sur ce middleware.
Source : Fiche NVD CVE-2026-112362
Analyse technique
Le traitement des barres obliques dans la cible de requête en forme absolue crée une divergence entre la résolution de route Fastify et la correspondance du middleware Express monté sur un chemin.
Impact, versions et correctif
Détection / vérification
Repérer les versions 4.0.5 à 4.0.8 de @fastify/express et vérifier si Fastify utilise l’option non par défaut ignoreDuplicateSlashes avec des middlewares Express montés sur un chemin.
Action recommandée
Mettre à niveau @fastify/express vers la version 4.0.9 ou ultérieure. Si la mise à niveau n’est pas immédiate, désactiver ignoreDuplicateSlashes ou déplacer les contrôles d’accès vers un hook Fastify exécuté après la résolution de route.
Sources
Priorisation DFS : P3 · 1 source(s).