← Back
CVE-2026-15074
high
CVSS 7.5
@fastify/static vulnerable to route guard bypass via path traversal
Summary
@fastify/static vulnerable to route guard bypass via path traversal
AI summary openai / gpt-4o
@fastify/staticのバージョン10.1.0までには、ファイル解決段階の前にリクエストのパス名でドットドットパスセグメントを拒否できない問題があります。この問題は認証されていない攻撃者が、ルートスコープのミドルウェアをバイパスして静的ルート内のファイルを読むことを可能にします。問題はバージョン10.1.1で修正されています。
❓ What is the problem
@fastify/staticにおけるパストラバーサル脆弱性
📍 Affected scope
バージョン10.1.0までの@fastify/static
🔥 Severity
認証されていない攻撃者が静的ルート内のファイルを読み取ることが可能
🔧 How to fix
@fastify/staticをバージョン10.1.1以降にアップデートする
🛡️ Workaround
情報なし
🔍 Detection
バージョン10.1.0以下を使用しているか確認する
Affected packages
npm
@fastify/static
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"10.1.1"}]}]
References
- patch ce714d77-add3-4f53-aff5-83d477b104bb
- patch ce714d77-add3-4f53-aff5-83d477b104bb
- web https://nvd.nist.gov/vuln/detail/CVE-2026-15074
- web https://github.com/fastify/fastify-static/commit/db4276f846ba56b21f93768cd6636ee5e2fc58b1
- web https://github.com/fastify/fastify-static/releases/tag/v10.1.1
- web https://github.com/advisories/GHSA-83w8-p2f5-377r