JVNDB-2026-032267

fastifyのfastify-staticにおける複数の脆弱性

@fastify/staticのバージョン10.1.3以前には、以前のルートガードバイパスに対する修正が不完全な状態で含まれていました。静的ファイルハンドラは親ディレクトリのセグメントのみを拒否していましたが、ルートマッチングの前および送信レイヤーに委譲する前に、ドットセグメント、重複スラッシュ、エンコードされたドット、バックスラッシュの正規化（カノニカル化）を行っていませんでした。その結果、認証されていない攻撃者がガードされたルートを回避するために非正規のパス形式を使用し、ルートベースのガードで保護されたファイルをリクエストして保護されたファイルの内容を漏洩させる可能性がありました。静的ルートのサブツリーをルートベースのガードで保護するアプリケーションが影響を受けますが、allowedPathオプションに依存するアプリケーションは影響を受けません。この問題は@fastify/static 10.1.3で修正されており、ルーティングおよび提供に使用されるパス名を正規化し、バックスラッシュも拒否しています。

fastify

• fastify-static 10.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/static vulnerable to route guard bypass via non-canonical path segments  Advisory  fastify/fastify-static  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. パス・トラバーサル(CWE-22) [その他]
2. 解釈の競合(CWE-436) [その他]

1. CVE-2026-18427

1. National Vulnerability Database (NVD) : CVE-2026-18427

• [2026年09月07日]
    掲載