← Retour
CVE-2026-15631
high
CVSS 8.7
Impact: @fastify/http-proxy versions from 9.4.0 up to and including 11.5.0 fail to validate the resolved WebSocket destination path against the configured rewrite prefix. The WebSocket routing path in...
Résumé
Impact: @fastify/http-proxy versions from 9.4.0 up to and including 11.5.0 fail to validate the resolved WebSocket destination path against the configured rewrite prefix. The WebSocket routing path in WebSocketProxy.findUpstream resolves the destination via the WHATWG URL constructor, which collapse...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-15631** a été découverte dans path-traversal.
Des attaquants peuvent cibler un point d'entrée spécifique comme ``prefix`` à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.7/10.
Action : mettez à jour path-traversal vers **>= 11.6.0** ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-15631 » sur le site de l'éditeur.
CVE-2026-15631 (path-traversal) — CWE-22 / CVSS v3 8.7
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : `prefix` / `rewritePrefix` / `upgrade` / `request`
Versions affectées : `>= 9.4.0, <= 11.5.0`
Correctif : `>= 11.6.0` — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
Fastifyのバージョン9.4.0から11.5.0において、WebSocketの宛先パスが適切に検証されない脆弱性。
📍 Périmètre concerné
@fastify/http-proxyのバージョン9.4.0から11.5.0
🔥 Gravité
意図しない上位エンドポイントにアクセス可能となるセキュリティリスク。
🔧 Comment corriger
@fastify/http-proxyをバージョン11.6.0にアップグレードする。
🛡️ Contournement
暫定回避策はなし。
🔍 Détection
特定のWebSocketクライアントまたはダウングレードプロキシを用いて検証可能。