← 戻る
CVE-2026-15074
high
CVSS 7.5
@fastify/static vulnerable to route guard bypass via path traversal
概要
@fastify/static vulnerable to route guard bypass via path traversal
AI要約 openai / gpt-4o
@fastify/staticのバージョン10.1.0までには、ファイル解決段階の前にリクエストのパス名でドットドットパスセグメントを拒否できない問題があります。この問題は認証されていない攻撃者が、ルートスコープのミドルウェアをバイパスして静的ルート内のファイルを読むことを可能にします。問題はバージョン10.1.1で修正されています。
❓ 何が問題か
@fastify/staticにおけるパストラバーサル脆弱性
📍 影響範囲
バージョン10.1.0までの@fastify/static
🔥 重要度
認証されていない攻撃者が静的ルート内のファイルを読み取ることが可能
🔧 修正方法
@fastify/staticをバージョン10.1.1以降にアップデートする
🛡️ 暫定回避
情報なし
🔍 検知方法
バージョン10.1.0以下を使用しているか確認する
影響パッケージ
npm
@fastify/static
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"10.1.1"}]}]
参照URL
- patch ce714d77-add3-4f53-aff5-83d477b104bb
- patch ce714d77-add3-4f53-aff5-83d477b104bb
- web https://nvd.nist.gov/vuln/detail/CVE-2026-15074
- web https://github.com/fastify/fastify-static/commit/db4276f846ba56b21f93768cd6636ee5e2fc58b1
- web https://github.com/fastify/fastify-static/releases/tag/v10.1.1
- web https://github.com/advisories/GHSA-83w8-p2f5-377r