JVNDB-2026-025651

fastifyのfastify/http-proxyにおける入力確認に関する脆弱性

影響：@fastify/http-proxy のバージョン11.5.0まで（含む）は、プレフィックスセグメントがURLエンコードされている場合にリクエストプレフィックスの書き換えに失敗します。FastifyのルーターはルートマッチングのためにパスをURLデコードしますが、request.urlは元のエンコード形式のままであり、prefix-rewriteのステップではデコードされたプレフィックスに対してリテラル文字列置換を行います。そのため、設定されたプレフィックスの1文字以上がエンコードされているリクエストはルートにはマッチしますが書き換えをスキップし、生のエンコード済みパスが上流にそのまま転送されます。上流側はパスをデコードして応答するため、攻撃者がrewritePrefixで隠されたはずの内部や管理エンドポイントを含む上流パスに到達してしまう可能性があります。修正：@fastify/http-proxyを11.6.0にアップグレードしてください。回避策：ありません。

fastify

• fastify/http-proxy 11.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/http-proxy vulnerable to prefix escape via URL-encoded characters  Advisory  fastify/fastify-http-proxy  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-16117

1. National Vulnerability Database (NVD) : CVE-2026-16117

• [2026年07月30日]
    掲載