JVNDB-2026-025652

fastifyのfastify/http-proxyにおけるパストラバーサルの脆弱性

影響範囲: @fastify/http-proxy のバージョン9.4.0から11.5.0まで（11.5.0を含む）は、解決されたWebSocketの宛先パスを設定されたリライトプレフィックスと照合して検証しません。WebSocketProxy.findUpstream内のWebSocketルーティングパスはWHATWGのURLコンストラクタを使用して宛先を解決しますが、これはドットセグメントを折り畳むため、パス・トラバーサル（ディレクトリ横断）シーケンスを含む巧妙に作られたアップグレードリクエストはリライトプレフィックスを回避し、プロキシによって公開されるべきでなかったアップストリームのエンドポイントに到達する可能性があります。これはfastify/reply-fromのHTTP修正を経ていないコード経路におけるCVE-2021-21322の亜種です。攻撃を成立させるには、リクエストパスを正規化しないWebSocketクライアントが必要です。なぜならブラウザやwsパッケージは送信前にリクエストパスを正規化しますが、生のHTTPクライアントやリクエストターゲットを変更せずに転送するダウンストリームプロキシが、本番環境のトポロジにおいて攻撃を可能にするためです。パッチ: @fastify/http-proxyをバージョン11.6.0にアップグレードしてください。回避策: ありません。

fastify

• fastify/http-proxy 9.4.0 以上 11.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/http-proxy vulnerable to prefix escape via WebSocket path traversal  Advisory  fastify/fastify-http-proxy  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-15631

1. National Vulnerability Database (NVD) : CVE-2026-15631

• [2026年07月30日]
    掲載