JVNDB-2026-021813

fastifyのfastify/expressにおける認可に関する脆弱性

@fastify/expressのバージョン4.0.6およびそれ以前のバージョンでは、ミドルウェアのマウントパスのprefixは、path引数が文字列の場合にのみ書き換えられます。文字列以外のマウントパス（パスの配列や正規表現）は、prefix付きプラグインスコープ内でprefixが付けられず、その形式で登録されたミドルウェアは実際のprefix付きリクエストパスにマッチしません。認証、認可、レート制限、監査のためにprefix付きスコープ内のルートにパススコープのミドルウェアを使用しているアプリケーションは、prefix付きルート宛てのリクエストを送信することでバイパスされる可能性があります。これはFastifyがルートをマッチさせるものの、ミドルウェアがスキップされるためです。対策としては@fastify/expressを4.0.7にアップグレードすることが推奨されます。またの回避策として、配列や正規表現の代わりに文字列のマウントパスを使用するか、パスごとに1回ずつuse呼び出しを登録してください。

fastify

• fastify/express 4.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/express vulnerable to middleware bypass via non-string mount paths in prefixed plugins  Advisory  fastify/fastify-express  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な認可(CWE-285) [その他]

1. CVE-2026-6556

1. National Vulnerability Database (NVD) : CVE-2026-6556

• [2026年07月02日]
    掲載