JVNDB-2026-032906

fastifyのfastify/http-proxyにおけるパストラバーサルの脆弱性

@fastify/http-proxy のバージョン11.6.2より前のものは、プロキシされたHTTPリクエストのパスに含まれるバックスラッシュを基にしたドットセグメントを、設定されたアップストリームへ転送する前に検証しません。プレーンHTTPリクエストハンドラーは、WebSocketパスで行われる宛先検証をスキップしており、基盤となるreply-fromライブラリはスラッシュを使ったパストラバーサルのみを拒否します。そのため、バックスラッシュを含むドットセグメントを含むリクエストは、prefixおよびrewritePrefixオプションで設定された境界を回避できます。認証されていないネットワーク攻撃者はこれを利用して、プロキシの背後に隠されるべきアップストリームパスに到達でき、内部エンドポイントの情報漏洩を引き起こす可能性があります。これはパストラバーサルの問題（CWE-22）です。ユーザーは@fastify/http-proxyを11.6.2以降にアップグレードする必要があります。

fastify

• fastify/http-proxy 11.6.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/http-proxy vulnerable to prefix escape via backslash dot-segments  Advisory  fastify/fastify-http-proxy  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-85124

1. National Vulnerability Database (NVD) : CVE-2026-85124

• [2026年09月11日]
    掲載